Vulnerabilidad en ArcGIS (CVE-2025-0020)

Gravedad CVSS v4.0:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

14/05/2025

Última modificación:

19/05/2025

Descripción

Vulnerabilidad por violación de los principios de diseño seguro, funcionalidad oculta y provisión incorrecta de funcionalidad especificada en ArcGIS (Autenticación) permite el abuso de privilegios, la manipulación de campos ocultos y la manipulación de la configuración y el entorno. La implementación de la API de OAuth 2.0 client_credentials de ArcGIS no cumple con los estándares RFC. Esta funcionalidad oculta (conocida por diseño, pero no documentada) permite que un solicitante (denominado "cliente" en RFC 6749) solicite la expiración de un token personalizado, no documentado, a ArcGIS (denominado "servidor de autorización" en RFC 6749).

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H/AU:Y/V:C/U:Amber CVSS v4.0 Severidad y Métricas:

Puntuación base: 7.90 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H/AU:Y/V:C/U:Amber

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Ninguno
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Alto
Integrity (SI): Alto
Availability (SA): Alto
Automatable (AU): Si
Value Density (V): Concentrated
Provider Urgency (U): Amber

Puntuación base 4.0

7.90

Gravedad 4.0

ALTA

Vulnerabilidad en ArcGIS (CVE-2025-0020)

Descripción

Impacto

Referencias a soluciones, herramientas e información