Esri ArcGIS: Gelombang Kelemahan Kritikal pada Peta Dunia

Esri ArcGIS: Gelombang Kelemahan Kritikal pada Peta Dunia

ArcGIS ialah software di sebalik kebanyakan peta dunia yang jarang anda nampak. Respons bencana, perancangan bandar, susun atur grid kuasa, data banci, logistik pertahanan — semuanya berjalan di atas platform Esri dalam kerajaan dan enterprise. Ia infrastruktur yang dipercayai, melakukan kerja yang tidak glamor, terdedah di pinggir rangkaian awam macam web app biasa.

Kepercayaan itulah yang membuatkan setahun ini tidak selesa. Esri menghantar gelombang CVE kritikal hingga serius merentas ArcGIS Server dan Portal for ArcGIS — SQL injection, hardcoded credentials, server-side request forgery (SSRF), missing authentication, directory traversal, dan unrestricted file upload — sementara satu APT anjuran negara China menghabiskan setahun hidup di dalam deployment ArcGIS yang dijadikan backdoor. Kalau anda jalankan ArcGIS, ini landskap sebenar yang anda hadapi.

Kenapa ArcGIS jadi sasaran bernilai tinggi

ArcGIS bukan alat pengguna, jadi ia tidak mendapat perhatian keselamatan seperti operating system atau cloud console. Tapi platform ini ada di mana-mana yang penting. Ia menyimpan "digital twin" infrastruktur negara: air, kuasa, pengangkutan, telekom, perkhidmatan kecemasan. Panduan kompromi Esri sendiri menyenaraikan grid kuasa, peta rangkaian, rekod penduduk, dan susun atur infrastruktur sebagai data sensitif yang dipegang platform ini.

Kalau orang yang salah masuk ke situ, anda bukan kehilangan database email pengguna. Anda kehilangan peta terperinci infrastruktur kritikal sebuah negara, dan APT dengan data itu selangkah di hadapan engineer yang masih cuba mempertahankan.

CVE kritikal, satu demi satu

Kadar pendedahan Esri memang tanpa henti. Ini temuan utama dari 2025 ke 2026. Benang yang sama menyusahkan: beberapa boleh dieksploitasi dari jauh tanpa sebarang authentication, pada konfigurasi lalai platform yang terdedah ke internet.

CVE-2025-57870 — SQL injection dalam ArcGIS Server Feature Services (CVSS 10.0)

Yang paling menonjol. Kelemahan SQL injection dalam operasi Feature Service tertentu ArcGIS Server (versi 11.3–11.5 di Windows, Linux dan Kubernetes) membolehkan penyerang dari jauh, tanpa authentication, melaksanakan SQL commands sewenang-wenangnya terhadap Enterprise Geodatabase di bawahnya.

Ini seburuk bunyinya. Ia CWE-89 — input pengguna digabungkan terus ke dalam SQL query tanpa sanitasi. Vektor CVSS lurus 10.0: serangan rangkaian, complexity rendah, tiada privileges, tiada user interaction, scope changed (kesan merentas trust boundary ke dalam database), dan impak penuh terhadap confidentiality, integrity dan availability. Dalam persekitaran di mana akaun geodatabase ada elevated privileges, injection boleh naik taraf kepada operating-system command execution melalui fungsi database seperti xp_cmdshell pada SQL Server.

Kesannya: buang isi geodatabase, padamkannya, atau tulis data sewenang-wenang ke dalam setiap map layer yang dipercayai organisasi. Versi ArcGIS dalam status sokongan mature atau retired harus dianggap vulnerable, menurut panduan advisory Esri.

CVE-2025-2538 — hardcoded credentials dalam Portal for ArcGIS (CVSS 9.8)

Satu deployment pattern tertentu Portal for ArcGIS (11.4 ke bawah) dihantar dengan hardcoded credential yang boleh memberi penyerang dari jauh, tanpa authentication, akses pentadbiran ke sistem. Hardcoded credentials macam hadiah kepada sesiapa yang boleh capai endpoint — mereka tidak perlu pecahkan apa-apa, cuma perlu jumpa pintunya.

CVE-2025-4967 — bypass perlindungan SSRF dalam Portal for ArcGIS (CVSS 9.1)

Kelemahan bypass pada perlindungan server-side request forgery dalam Portal for ArcGIS 11.4 dan ke bawah. Penyerang dari jauh, tanpa authentication, boleh menyebabkan Portal menghantar permintaan ke sumber dalaman yang sepatutnya tidak boleh dicapai. SSRF pada platform infrastruktur ialah pivot klasik: capai metadata endpoint, sentuh port dalaman, dan bergerak secara lateral dari satu permintaan sahaja.

CVE-2026-9181 dan CVE-2026-9182 — directory traversal + unrestricted file upload dalam ArcGIS Server (CVSS 9.8 setiap satu)

Diumumkan dalam security bulletin ArcGIS Mei 2026, kedua-duanya menjejaskan semua versi ArcGIS Server di Windows dan Linux sehingga 12.0 (bukan varian Kubernetes):

• CVE-2026-9181 — directory traversal yang membolehkan penyerang tanpa authentication menulis ganti fail sensitif pada sistem melalui crafted path parameters. Advisory Esri sendiri menyatakan penyalahgunaan isu ini "boleh memberi akses pentadbiran penuh kepada ArcGIS Server, dengan impak tinggi terhadap confidentiality, integrity, dan availability" (diterjemah daripada teks asal bahasa Inggeris).
• CVE-2026-9182 — unrestricted file upload di mana penyerang tanpa authentication boleh muat naik fail sewenang-wenang dan membina serangan di atasnya. CWE-434 klasik, kelemahan yang sama di sebalik rampasan web shell selama dua dekad.

Sepasang 9.8 yang boleh dirantaikan: traverse ke tempat anda boleh menulis, upload web shell atau tulis ganti config, dan server milik anda.

CVE-2026-13019 — missing authentication dalam Portal for ArcGIS (CVSS 9.8)

Satu API yang tidak dilindungi dalam Portal for ArcGIS 12.1 dan ke bawah mendedahkan function kritikal tanpa authentication. Penyerang dari jauh, tanpa authentication, boleh capai terus. Missing authentication pada function kritikal ialah kelas bug yang sepatutnya tidak wujud dalam kod baharu, tapi ia terus muncul.

CVE-2026-13020 — password recovery lemah dalam Portal for ArcGIS (CVSS 8.1)

Mekanisme password recovery yang lemah dalam Portal for ArcGIS 12.1 dan ke bawah membolehkan penyerang dari jauh, tanpa kebenaran, mengambil alih akaun pengguna dengan memanipulasi flow pemulihan. Ini tidak perlu exploit teknikal — ia menyalahgunakan ciri pemulihan akaun itu sendiri.

Corak yang patut merisaukan

Letak senarai ini bersama dan satu bentuk muncul. Ini bukan bug parser yang sukar dibaca dan perlukan fail tempatan. Berulang kali ia eksploitasi tanpa authentication dari jauh terhadap permukaan internet-facing bagi platform yang penggunanya anggap software dalaman yang dipercayai. Keterukan bertumpu pada 9.8 dan 10.0 kerana setiap satunya melintasi trust boundary — dari web tier ke dalam geodatabase, atau dari satu permintaan ke operating system.

Corak kedua ialah lifecycle. Versi ArcGIS dalam status sokongan "mature" atau "retired" diberitahu untuk dianggap vulnerable. Pemasangan GIS terkenal tahan lama — sebuah bandar atau utiliti mungkin simpan kotak ArcGIS 10.x selama sedekad kerana re-platform mahal. Pemasangan itu kini duduk di atas kelemahan kritikal yang diketahui dan tiada patch.

Kes Flax Typhoon: bukan sekadar hipotesis

Ini bukan teori. Pada Oktober 2025, ReliaQuest menerbitkan penyelidikan tentang bagaimana penyerang yang dikaitkannya dengan keyakinan tinggi kepada APT China — dan dengan keyakinan sederhana kepada Flax Typhoon (atau dikenali sebagai Ethereal Panda) — mengekalkan akses lebih daripada setahun ke deployment ArcGIS sesebuah organisasi.

Rantaian serangan adalah bahagian yang bijak, dan sebab itulah ia penting. Penyerang menjejaskan ArcGIS Server yang terdedah kepada awam dan bersambung ke ArcGIS Server dalaman yang peribadi untuk pengiraan backend — konfigurasi lalai yang biasa. Kemudian mereka mengubah Java server object extension (SOE) ArcGIS menjadi web shell yang berfungsi. Mereka mengawal akses dengan hardcoded key untuk kawalan eksklusif, dan menanam komponen yang terjejas ke dalam system backup organisasi itu sendiri — menjadikan pelan pemulihan sebagai kaedah jaminan untuk jangkitan semula.

Setelah berada di dalam, penyerang menghantar permintaan GET berniat jahat dengan payload base64 dalam parameter layer, yang didekod kepada arahan cmd.exe untuk mencipta direktori sistem tersembunyi. Foothold senyap itu memberi kumpulan ini command execution "hands-on-keyboard", pergerakan lateral, dan credential harvesting merentas beberapa host, dibantu oleh bridge SoftEther VPN yang dinamakan semula untuk command-and-control disulitkan.

Ringkasnya: titik masuk asal tidak diketahui — data retention yang terhad mengaburikannya, sehingga penyiasat sendiri tidak dapat memastikan bagaimana penyerang mula-mula masuk. Apa yang mereka temui ialah akaun pentadbir portal yang telah dikompromi, dengan password yang ditukar kepada password gaya penyerang ("leet") yang asal-usulnya tidak diketahui. Selepas analisis bersama Esri, ReliaQuest menolak kemungkinan kelemahan produk. Pengajaran di sini ialah kepercayaan pada platform menjadi serangan itu sendiri — penyerang menggunakan semula komponen yang sah dan whitelisted supaya ia lolos pertahanan yang menganggap software yang dipercayai berkelakuan normal.

Apa yang patut anda buat

Dua landasan: software dan cara berfikir.

Kukuhkan software.

• Patch. Pasang security patches ArcGIS Server dan Portal for ArcGIS terkini dari Esri Trust Center — gelombang ini (SQLi, traversal, upload, missing auth) dibaiki dalam build yang dipatch. Versi tidak disokong "mature/retired" tiada fix; rancang upgrade.
• Jangan dedahkan antara muka pengurusan ke internet. Sekat ArcGIS Server dan Portal management/admin endpoints serta Service Directory kecuali sengaja diterbitkan, dan letakkan platform di belakang set WAF rules yang betul, bukan menganggap pengasingan lalai.
• Segmentasikan web tier daripada geodatabase pada rangkaian. Jika front-end terjejas, database sepatutnya tidak boleh dicapai dalam satu hop.
• Terapkan prinsip permission fail sistem yang minimum supaya traversal atau upload tidak boleh tulis ganti configuration atau letakkan web shell.
• Kukuhkan password recovery yang lemah dan paksakan kredensial pentadbir yang kuat, unik, dengan MFA. Penyerang beroperasi menggunakan akaun pentadbir portal yang telah dikompromi.

Ubah cara berfikir.

• Anggap setiap aplikasi terdedah kepada awam — termasuk "software GIS lama yang dipercayai" — sebagai aset berisiko tinggi dengan capaian backend. ReliaQuest menyebut kes ArcGIS sebagai wake-up call untuk sebab yang tepat.
• Anggap komponen yang sah boleh menjadi backdoor. Ini memerlukan pengesanan berasaskan tingkah laku, bukan sekadar IOC dan padanan signature, kerana payload di sini ialah string base64 berlagak dan extension native yang digunakan semula — tiada yang kelihatan seperti malware.
• Anggap backup disaster-recovery anda sebagai vektor jangkitan semula yang mungkin. Jika penyerang menanam backdoor dalam backup anda, memulihkan daripadanya mengembalikan backdoor itu. Sahkan backup bersih, bukan sekadar menganggap ia bersih.

ArcGIS ialah batu asas cara negara dan enterprise melihat dunia. Ia juga, sekarang ini, platform yang menghantar enam kelemahan kritikal dalam satu kitaran dan satu foothold APT dunia sebenar yang disahkan bertahan setahun. Peta yang kita percayai wajar diberi rigor keselamatan yang sama seperti rangkaian yang kita sambungkan. Mereka tidak mendapatnya secara lalai — bahagian itu terpulang kepada orang yang menguruskan.

Sumber:

• Esri — ArcGIS Server Feature Services Security Patch (CVE-2025-57870)
• NVD — CVE-2025-57870 (SQL injection, CVSS 10.0)
• NVD — CVE-2025-2538 (hardcoded credentials, CVSS 9.8)
• NVD — CVE-2025-4967 (SSRF bypass, CVSS 9.1)
• OpenCVE — CVE-2026-9181 (directory traversal, CVSS 9.8)
• OpenCVE — CVE-2026-9182 (unrestricted file upload, CVSS 9.8)
• OpenCVE — CVE-2026-13019 dan CVE-2026-13020 (missing auth / password recovery lemah)
• ReliaQuest — Inside Flax Typhoon's ArcGIS Compromise
• The Hacker News — Chinese Hackers Exploit ArcGIS Server as Backdoor for Over a Year
• Dark Reading — China's Flax Typhoon Turns Geo-Mapping into Backdoor
• Esri — Understanding the ArcGIS Server SOE Compromise

Sumber

• Esri: Esri — ArcGIS Server Feature Services Security Patch (CVE-2025-57870)
• NIST NVD: NVD — CVE-2025-57870 (SQL injection, CVSS 10.0)
• NIST NVD: NVD — CVE-2025-2538 (hardcoded credentials, CVSS 9.8)
• NIST NVD: NVD — CVE-2025-4967 (SSRF bypass, CVSS 9.1)
• OpenCVE: OpenCVE — CVE-2026-9181 (directory traversal, CVSS 9.8)
• OpenCVE: OpenCVE — CVE-2026-9182 (unrestricted file upload, CVSS 9.8)
• OpenCVE: OpenCVE — CVE-2026-13019 dan CVE-2026-13020 (missing auth / password recovery lemah)
• ReliaQuest: ReliaQuest — Inside Flax Typhoon's ArcGIS Compromise (14 Oct 2025)
• The Hacker News: The Hacker News — Chinese Hackers Exploit ArcGIS Server as Backdoor for Over a Year
• Dark Reading: Dark Reading — China's Flax Typhoon Turns Geo-Mapping into Backdoor
• Esri: Esri — Understanding the ArcGIS Server SOE Compromise