Esri - CVE-2026-10757
Date de publication :
Il s’agit d’une vulnérabilité d’injection SQL dans ArcGIS Server.
ArcGIS Server est un serveur de cartographie et de système d’information géographique (SIG) d’Esri. Il publie des services web géographiques, comme des cartes et des données d’entités. Il fait partie de la plateforme ArcGIS Enterprise.
Elle touche les versions 12.1 et antérieures, sous Windows et Linux. Les caractères spéciaux ne sont pas correctement neutralisés avant leur insertion dans une requête SQL. Un attaquant distant qui a accès au service peut ainsi appeler des fonctions spécifiques à la base de données. Ces fonctions ne devraient pas être autorisées. Un attaquant anonyme peut aussi agir si le service est configuré en accès public. Ce n’est pas la configuration par défaut. Le vecteur CVSS d’Esri indique une attaque sans interaction et de faible complexité.
Elle permet l’exécution de fonctions de base de données interdites, avec un impact sur la confidentialité, l’intégrité et la disponibilité.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Oui
• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données
• Déni de service (à distance)
Exploitation
CWE-89 : Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
ArcGIS Server versions 12.1 et antérieures, sous Windows et Linux
- ArcGIS Server 11.4, 11.2 et antérieures : statut mature ou retiré, sans correctif. Esri recommande de passer à une version LTS puis d’appliquer le patch.
Contournement provisoire
• Le profil de base du guide de durcissement ArcGIS réduit l’exposition.
Solutions ou recommandations
• ArcGIS Server 12.0 : installer le patch ArcGIS Server Security 2026 Update 3
• ArcGIS Server 11.5 : installer le patch ArcGIS Server Security 2026 Update 3
• ArcGIS Server 11.3 : installer le patch ArcGIS Server Security 2026 Update 3
• ArcGIS Server 11.1 : installer le patch ArcGIS Server Security 2026 Update 3