CVE-2021-44228 sérülékenység – ArcGIS Enterprise

Az elmúlt napokban jelentkező, CVE-2021-44228 azonosítóval megjelölt, Apache log4j sérülékenység ESRI szoftverekre vonatkozó érintettsége és a javítás módja 2021.12.16-val az alábbiakra változott.

 

Az ESRI kiadott egy python szkriptet, amelyet le lehet tölteni és a megadott leírás szerint futtatni minden, megadott verziójú kiszolgálón.

Ez a szkript eltávolítja az egyes szoftverekből az érintett problémát okozó JndiLookup osztályt.

 

Az érintett szoftver komponensek és telepítési leírás:

Érintett verziók: 10.6, 10.6.1, 10.7, 10.7.1, 10.8, 10.8.1, 10.9, 10.9.1

A szkriptnek a 10.6-os verziónál régebbi környezetben is működnie kell, de ezen verziókra az nem validált.

 

A megadott javítástól függetlenül továbbra is javasolt az érintett kiszolgálók további védelmének biztosítása

Web Application Firewall (WAF) vagy egyéb védelmi megoldással. WAF esetében alkalmazandó szabály:

  • Szabály típusa: Blokk HTTP/HTTPS requests
  • Match: String
  • Match: Querystring, RequestMethod, RequestUri, PostArgs, RequestCookies
  • Operator: Contains
  • Transformation: Trim, Lowercase
  • Match values: ${jndi

 

A CVE-2021-44228 sérülékenységről bővebb információt az alábbi oldalon találhat:

https://nvd.nist.gov/vuln/detail/CVE-2021-44228

 

A sérülékenység ArcGIS Enterprise oldali érintettségéről információt bővebben az alábbi oldalon találhat:

https://www.esri.com/arcgis-blog/products/arcgis-enterprise/administration/arcgis-software-and-cve-2021-44228-aka-log4shell-aka-logjam/

Online felhasználói konferencia 2021

Hagyományainkhoz híven, 2021. szeptember 30-án megrendezésre kerül éves felhasználói konferenciánk, a Solutions Day 2021,  melyre idén is rendhagyó módon a VIRTUÁLIS térben kerül

Felhasználói Konferencia 2020

Hagyományainkhoz híven, 2020.10.08-án megrendezésre kerül éves felhasználói konferenciánk, a  GDi Magyarország Online Felhasználói Konferencia 2020,  melyre idén rendhagyó módon a VIRTUÁLIS

Biztonsági frissítések a Portálon

Az Esri arról tájékoztat, hogy a Portal for ArcGIS 10.7.1-es vagy korábbi verziói sebezhetőek az ún. SSRF (Server-Side Request Forgery) támadásokkal szemben. A biztonsági

ArcGIS Online – Biztonsági hírek

  A HTTPS protokoll az ArcGIS platform szoftverei közti biztonságos kommunikáció egyik kulcseleme, így ArcGIS Online-ban 2020. december 8-tól az Esri bevezeti a HTTPS

Együtt a koronavírus ellen

Az ESRI és az ENSZ közösen ajánlják fel az országok számára a koronavírussal kapcsolatos térkép-adatokhoz való hozzáférést. Az ESRI, a

Kapcsolatfelvétel

Esri

UAS

Események

Kapcsolat