Portal for ArcGIS: Fehlende Authentifizierung bei Administrator-API-Endpunkten
Zusammenfassung
Bestimmte Portal-Administrator-API-Endpunkte in Portal for ArcGIS sind unter spezifischen Bedingungen ohne Authentifizierung erreichbar. Ein unauthentifizierter Angreifer aus dem Netzwerk könnte so auf administrative Funktionen zugreifen, die eine Anmeldung erfordern sollten; der CVSS-Wert beträgt 9.8. Die Bedingungen hängen mit der Einstellung für den standardmässigen Benutzertyp und die Rolle für neue Mitglieder zusammen, Esri beschreibt den genauen Auslöser jedoch nicht vollständig.
Betroffen
- Portal for ArcGIS 11.1 bis 12.1 (gemäss Esri; Standardkonfiguration nicht betroffen)
- Portal for ArcGIS 12.2: Unbekannt, bis Esri dies bestätigt, als potenziell betroffen behandeln
Behoben in
- Portal for ArcGIS 2026 Security Update 4 (veröffentlicht am 24. September 2026 gemäss Esri, kumulativ)
- Fixierte Build-Version: Unbekannt, auf der Support-Seite von Esri für Ihre Installation prüfen
Umgehung
- Den konfigurierten standardmässigen Benutzertyp und die Rolle für neue Mitglieder vorübergehend entfernen (Esri: Ist kein solcher Benutzertyp und keine solche Rolle definiert, können die Einschränkungen bei der Kontoerstellung nicht umgangen werden)
- Das Basisprofil aus dem ArcGIS-Hardening-Leitfaden anwenden, um die Angriffsfläche zu reduzieren
- Die Einstellung erst nach der Installation des Patches wieder aktivieren
Ausnutzung
- In den geprüften Quellen wurde kein öffentlicher Exploit-Code bestätigt
- Nicht als aktiv ausgenutzt im KEV-Katalog der CISA erfasst (nicht unabhängig überprüft)
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total
- Keine Berichte über Ausnutzung in freier Wildbahn gefunden; fehlende Berichte sind kein Beweis für fehlende Ausnutzung
Unsere Empfehlung
- Alle Portal-for-ArcGIS-Installationen und ihre genauen Versionen inventarisieren, einschliesslich 12.2
- Prüfen, ob ein Portal aus dem Internet erreichbar ist, und den Zugriff auf interne Netzwerke beschränken
- Die Einstellung für den standardmässigen Benutzertyp und die Rolle für neue Mitglieder prüfen und diese vorübergehend entfernen, falls nicht sofort gepatcht werden kann
- Portal for ArcGIS 2026 Security Update 4 installieren und die Einstellung danach erneut prüfen
- Portal-Logs auf unerwartete Administrator-API-Aktivitäten überprüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Esri ArcGIS Security Bulletin September 2026 www.esri.com
- Esri Portal for ArcGIS Security 2026 Update 4 patch support.esri.com
- VulDB entry CVE-2026-69227 vuldb.com
- CVE-2026-69227 at The Hacker Wire www.thehackerwire.com
- CVE-2026-69227 at CVE Threat Intelligence cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:03.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.