Mehrere Schwachstellen im ESRI ArcGIS Server ermöglichen XSS‑Angriffe

Ein Sicherheitsbericht des CERT‑Bundes weist darauf hin, dass ein entfernter, anonymer Angreifer mehrere Schwachstellen im ESRI ArcGIS Server ausnutzen kann, um Cross‑Site‑Scripting (XSS) durchzuführen oder vorhandene Sicherheitsmaßnahmen zu umgehen.

Technische Details der Schwachstellen

Die betroffenen Komponenten umfassen fehlerhafte Eingabevalidierungen und unzureichende Authentifizierungsprüfungen, die es einem Angreifer ermöglichen, schädlichen Code in Web‑Anwendungen zu injizieren. Durch die Kombination dieser Defekte lässt sich die Ausführung von Skripten im Kontext legitimer Nutzer erreichen.

Potenzielle Auswirkungen für Nutzer

Organisationen, die ArcGIS Server für die Bereitstellung kartografischer Dienste einsetzen, riskieren die Kompromittierung von Sitzungsdaten, die Manipulation von Kartendarstellungen und den unautorisierten Zugriff auf interne Systeme. Der Angriff kann zudem die Durchsetzung von Zugriffskontrollen untergraben.

Empfohlene Gegenmaßnahmen

Der CERT‑Bund empfiehlt, alle verfügbaren Sicherheitspatches von ESRI unverzüglich zu installieren und die Konfiguration der Serverinstanzen zu überprüfen. Zusätzlich sollten Eingabe‑ und Ausgabeparameter streng gefiltert sowie die Verwendung von HTTPS erzwungen werden.

Hinweise zum Veröffentlichungszeitpunkt

Die Sicherheitsberatung trägt die Kennzeichnung WID‑SEC‑2025‑2833 und wurde im Jahr 2025 veröffentlicht. Sie richtet sich an Administratoren und Betreiber von GIS‑Infrastrukturen, die von den genannten Schwachstellen betroffen sein könnten.

Langfristige Sicherheitsstrategie

Experten raten dazu, regelmäßige Schwachstellenanalysen durchzuführen und ein Patch‑Management‑Verfahren zu etablieren, das zeitnahe Updates von Drittanbieter‑Software berücksichtigt. Die Sensibilisierung von Administratoren für sichere Konfigurationspraktiken wird ebenfalls als wichtig erachtet.

Dieser Bericht basiert auf Informationen von CERT‑Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).