🇰🇷 한글 설명
Esri Portal for ArcGIS 12.1 이하 버전에 반사형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 인증되지 않은 원격 공격자가 조작된 링크를 생성할 수 있으며, 피해자가 이 링크를 클릭하면 피해자 브라우저에서 임의의 JavaScript 코드가 실행될 수 있습니다. General Availability 및 Extended 지원 상태인 ArcGIS Server 12.1, 12.0, 11.5, 11.3, 11.1 버전에 대한 패치가 제공됩니다.
💡 쉬운 설명
공격자가 만든 악성 링크를 사용자가 클릭하면 웹 페이지에서 원치 않는 스크립트가 실행될 수 있습니다. 이 문제는 패치를 적용하거나 최신 버전으로 업그레이드하면 해결됩니다.
🇺🇸 원문 (English)
There is a reflected cross site scripting vulnerability in Esri Portal for ArcGIS versions 12.1 and prior which may allow a remote, unauthenticated attacker to create a crafted link which when clicked could potentially execute arbitrary JavaScript code in the victim’s browser. A patch is provided for ArcGIS Server software in General Availability and Extended support status, which includes versions 12.1, 12.0, 11.5, 11.3, and 11.1. Other versions are in mature or retired status, which are not patch eligible. Users working with unlisted versions are advised to upgrade and apply the patch.
📍 영향받는 시스템
Esri Portal for ArcGIS 12.1 이하 버전 (패치 대상: 12.1, 12.0, 11.5, 11.3, 11.1)
⚔️ 공격 벡터
인증 없이 조작된 링크를 생성해 피해자가 클릭하도록 유도하여 브라우저에서 악성 JavaScript 실행
🛡️ 대응 방법
ArcGIS Server 패치를 적용하거나 지원되는 최신 버전으로 업그레이드
🔧 검증 코드
출력된 버전 정보를 확인하여 12.1 이하이면 취약하며, 패치가 적용된 지원 버전인지 Esri 보안 공지와 대조해 판단합니다.
grep -ri 'portal' /opt/arcgis/portal/framework/webapps 2>/dev/null | grep -iE 'version' | head -5