ArcGIS Server Security 2021 Update 1 Patch

Ce correctif de sécurité corrige plusieurs failles de sécurité identifiées dans ArcGIS Server. Esri recommande à tous les clients qui utilisent ArcGIS Server 10.8.1, 10.7.1 et 10.6.1 d’appliquer ce correctif.

Esri® annonce le correctif ArcGIS Server Security 2021 Update 1 Patch. Esri recommande à tous les clients qui utilisent ArcGIS Server 10.8.1, 10.7.1 et 10.6.1 d’appliquer ce correctif. Ce correctif traite plus spécifiquement les problèmes répertoriés sous Problèmes résolus par ce correctif. Remarque : ce correctif de sécurité cumulatif comprend plusieurs corrections liées ou non à la sécurité, provenant de correctifs antérieurs, également indiquées ci-après sous Problèmes résolus par ce correctif.

Problèmes résolus par ce correctif

• ArcGIS Server Security 2021 Update 1 Patch
• BUG-000137658 - Vulnérabilité de type SSRF dans ArcGIS Server Manager.
• BUG-000137662 - XSS réfléchi dans ArcGIS Server
• BUG-000137663 - Vulnérabilité de type XSS stocké dans ArcGIS Server
• BUG-000137668 - Vulnérabilité de type XSS stocké dans le répertoire ArcGIS Server Services
• BUG-000131992 - Vulnérabilité de type XSS (Cross-Site Scripting) réfléchi dans ArcGIS Server
• BUG-000137659 - Écriture de scripts intersites (XSS) dans ArcGIS Server Manager (10.6.1 uniquement)

Pour éviter les conflits dans la version 10.8.1, ce correctif résout également les problèmes suivants :

• BUG-000135563 - Si le nom du champ est construit à l’aide de chaînes multioctets, l’utilisation de la clause WHERE comme opération de requête avec le champ se solde par un échec.
• BUG-000134113 - Ne mettez à jour les informations sur le service que si les champs de l’onglet Description de l’élément ont été délibérément modifiés dans Server Manager.
• BUG-000133232 - Proposez une assistance dans ArcGIS Server pour vous assurer que les membres du portail ArcGIS Enterprise détenant des rôles personnalisés soient en mesure de supprimer leurs propres services lorsque le rôle inclut des privilèges administratifs tels que 'Afficher tous les membres' et les privilèges de publication.
• BUG-000127160 - Erreur lors de l’activation du suivi de la localisation lorsque le répertoire de configuration se trouve dans le stockage Cloud.

Pour éviter ces conflits avec la version 10.7.1, ce correctif résout également les problèmes suivants :

• BUG-000132311 - Impossible de voir les informations sur l’espace de travail des services dans Server Manager si le répertoire de configuration du site est conservé dans S3/DynamoDB dans AWS
• BUG-000130002 - Les requêtes 'GetFolders', 'GetDescriptions' et 'GetDescriptionsEx' échouent dans les déploiements ArcGIS Server 10.7.1 sur Amazon Web Services.
• BUG-000128892 - La mise en cache avec 64 instances ou plus sur une seule machine risque d’échouer même si les ressources système sont suffisantes.
• BUG-000128060 - ArcGIS Server présente une vulnérabilité de type SSRF (Server Side Request Forgery).
• BUG-000127160 - Erreur lors de l’activation du suivi de la localisation lorsque le répertoire de configuration se trouve dans le stockage Cloud.
• BUG-000127113 - Connexion au magasin d’identités impossible avec Asp.net et ArcGIS Server 10.7. ou version ultérieure après le redémarrage du service Windows ArcGIS Server.
• BUG-000125331 - CreateReplica avec registerExistingData doit tenir compte des URL de service avec différents noms de machine pour les services d’entités hébergés
• BUG-000125214 - Optimisation de la suppression de services pour éviter les délais d’expiration sur des déploiements qui incluent un grand nombre de services.
• BUG-000125044 - Le service d’entités hébergé présente une vulnérabilité de type XSS (Cross-Site Scripting) stocké.
• BUG-000124991 - ArcGIS Server ne parvient pas à importer entièrement les certificats racines ou intermédiaires.
• BUG-000124867 - Lors de la tentative de téléchargement d’une zone cartographique gérée dans Collector for ArcGIS, le téléchargement échoue en raison d’une erreur qui se produit entre ArcGIS Server et l’accès au réplica ArcGIS Web Adaptor.
• BUG-000124827 - Sur un site ArcGIS Server à plusieurs machines qui comporte un ou plusieurs services de carte en cache ayant été utilisés via ArcMap ou un client SOAP, la publication d’un service ou l’arrêt/le démarrage d’un service entraîne le redémarrage de tous les services sur les machines.
• BUG-000124576 - Le démarrage d’un service de carte avec une extension d’objet serveur (SOE) Java SOAP activée échoue avec l’erreur « javax/xml/bind/JAXBException ».
• BUG-000124287 - La publication échoue en raison de l’échec de l’inscription de la base de données d’entreprise, même si elle semble fonctionner dans l’interface utilisateur. Cela peut se produire sur la configuration d’une machine comportant plusieurs cartes réseau.
• BUG-000123103 - ArcGIS Server gère de façon inappropriée une origine CORS incorrecte.
• BUG-000122285 - La scalabilité du service de scène 3D est entravée par des lectures/écritures fréquentes dans les répertoires et le magasin de configuration.
• BUG-000120535 - Dans le diagramme de série Operations Dashboard for ArcGIS dans Portal for ArcGIS, le tri des données par statistiques dans la configuration Data Options (Options des données) renvoie le message d’avertissement suivant : « Cannot Access Data. » (Accès aux données impossible.).

Pour éviter les conflits dans la version 10.6.1, ce correctif résout également les problèmes suivants :

• BUG-000137702 - Résout un blocage dans ArcGIS lors de l’utilisation de fichiers PMF
• BUG-000134965 - Il existe une faille concernant l’injection SQL dans ArcGIS Server.
• BUG-000132034 - Dans Portal for ArcGIS, lorsque le nom du fichier joint est en japonais, un fichier ne peut pas être ouvert, mais il peut être téléchargé.
• BUG-000131010 - L’exécution de la commande de recherche dans l’extrémité REST ArcGIS Desktop et ArcGIS Server est beaucoup plus longue de 10.6.0 à 10.6.1.
• BUG-000130724 - La méthode Con du composant Spatial Analyst RasterConditionalOp échoue de manière inattendue avec une erreur si elle est appelée dans une syntaxe antérieure à la version 10.
• BUG-000128883 - L’outil de géotraitement Inscrire dans une géodatabase se charge et fonctionne lentement dans ArcMap en cas d’inscription de tables ou vues spatiales volumineuses avec une géodatabase d’entreprise.
• BUG-000128381 - La synchronisation de réplica monodirectionnel échoue avec l’erreur : « Synchronize Replica Failed [<schema>.<featureclass>] Table not registered [PEA.GDB_TEMP_USER_IDS] » (La synchronisation du réplica a échoué [<structure>.<classe d’entités>] Table non inscrite [PEA.GDB_TEMP_USER_IDS]).
• BUG-000128060 - ArcGIS Server présente une vulnérabilité de type SSRF (Server Side Request Forgery).
• BUG-000126701 - Échec de la restauration des services hébergés si leur vue associée est répertoriée par ordre alphabétique après le service hébergé.
• BUG-000126173 - GeoAnalytics Server ne prend pas en charge les connexions à Hadoop avec l’authentification Kerberos lorsque la propriété hadoop.rpc.protection de Hadoop est définie sur « privacy » (confidentialité) ou « integrity » (intégrité).
• BUG-000125044 - Le service d’entités hébergé présente une vulnérabilité de type XSS (Cross-Site Scripting) stocké.
• BUG-000124827 - Sur un site ArcGIS Server à plusieurs machines qui comporte un ou plusieurs services de carte en cache ayant été utilisés via ArcMap ou un client SOAP, la publication d’un service ou l’arrêt/le démarrage d’un service entraîne le redémarrage de tous les services sur les machines.
• BUG-000124386 - Correction de l’ordre des opérations au cours de la tâche importSite.
• BUG-000124326 - Le changement de nom d’une classe d’entités SDO_Geometry échoue dans Oracle 19c.
• BUG-000124325 - La création d’un type spatial échoue dans Oracle 19c.
• BUG-000124079 - L’exécution de l’ajustement de bloc sur la collection d’images pour la seconde fois est susceptible d’échouer avec une valeur d’élévation par défaut manquante.
• BUG-000123103 - ArcGIS Server gère de façon inappropriée une origine CORS incorrecte.
• BUG-000122408 - Un certificat personnalisé du serveur Web n’est pas conservé en cas de restauration d’une sauvegarde webgisdr.
• BUG-000122285 - Les services de scène 3D ArcGIS Enterprise offrent un faible rendement et présentent une scalabilité nulle sur plusieurs nœuds SIG.
• BUG-000121595 - Problème occasionnel/intermittent lié à la création de site ainsi qu’à la création et à la suppression de services dans ArcGIS Server.
• BUG-000120805 - Problème de contrôle d’accès dans ArcGIS Server.
• BUG-000120195 - Échec de la restauration des services hébergés contenant des vues associées.
• BUG-000119801 - L’outil Échantillon échoue lorsque plusieurs mosaïques sont indiquées en tant que rasters en entrée.
• BUG-000119759 - Amélioration de la qualité et des performances de l’outil Échantillon.
• BUG-000119534 - L’outil Allocation de chemin génère des résultats incorrects lorsque les caractéristiques sources sont spécifiées.
• BUG-000119493 - L’outil Cuvettes crée deux valeurs uniques pour les régions en cuvette connectées en diagonale. Cela est incorrect car les cuvettes connectées en diagonale doivent être identifiées par une valeur unique.
• BUG-000119425 - Les tâches SummarizeRasterWithin (Synthétiser un raster à l’intérieur) et ConvertRasterToFeature (Convertir le raster en entités) dans ArcGIS Image Server se bloquent lors de la tentative de lecture directe d’un service d’imagerie en entrée situé sur un répertoire raster Cloud.
• BUG-000119424 - Les outils Géométrie zonale (table) et Géométrie zonale génèrent des résultats incorrects lorsqu’un champ autre qu’un champ de valeur a été utilisé. Dans ce cas, la logique de calcul des propriétés de la géométrie zonale n’est pas correcte et le logiciel cesse de fonctionner.
• BUG-000119423 - L’outil Bassins versants se fige lorsque l’étendue de traitement est définie sur une seule captation de cellule.
• BUG-000119422 - L’outil Distance de flux dans ModelBuilder n’affiche pas le paramètre « FlowDistanceType ».
• BUG-000119421 - L’outil Distance de flux génère des valeurs NoData pour la majorité des cellules lorsque le raster de surface en entrée n’est pas conditionné hydrologiquement.
• BUG-000119419 - L’outil Direction euclidienne avec des données haute résolution produit une sortie incorrecte.
• BUG-000119323 - L’outil Raster vers polygones avec l’option « Create multipart features » (Créer des entités multiparties) activée verrouille la sortie contre les mises à jour.
• BUG-000119030 - L’interrogation ou la sélection depuis une géodatabase fichier compressée plus de huit fois dans ArcGIS Desktop 10.6.1 est plus lente que dans ArcGIS Desktop 10.5.1.
• BUG-000118421 - Si une chaîne de connexion comporte des caractères autres qu’anglais, l’outil Copier un raster renvoie l’erreur suivante lors de l’importation d’un raster dans une géodatabase d’entreprise : « ERREUR 999999 : Erreur lors de l’exécution de la fonction. Aucun stockage raster n’est configuré. Exécution en dehors d’un processus serveur. Échec de l’exécution de la commande [CopyRaster]. »
• BUG-000118138 - Les champs de type Double ArcGIS avec une précision = 10 et une échelle = 0 dans une géodatabase Oracle sont automatiquement transformés en type Entier long après une prévisualisation dans ArcGIS 10.6.1/ArcGIS Pro 2.2 ou des clients ultérieurs. Une erreur est renvoyée, « [ORA-01455 : la conversion de colonnes dépasse la capacité du type de données entier] » si les champs contiennent des nombres d’une taille supérieure au maximum autorisé pour un entier long (2 47 483 647).
• BUG-000117983 - Problème de contrôle d’accès dans le gestionnaire de tuiles ArcGIS Server.
• BUG-000117954 - Le service de scène devrait ignorer les erreurs de certificat pendant la consommation de caches de scène dans Scene Viewer.
• BUG-000117633 - Dans les versions 10.6.1 et antérieures, il est possible que le service de la plateforme de bus des messages ne soit pas initialisé correctement dans tous les environnements.
• BUG-000117372 - XSS (Cross-Site Scripting) dans l’API d’administration du serveur.
• BUG-000116972 - Collector for ArcGIS (iOS) ne parvient pas à envoyer des photos en pièce jointe aux couches d’entités hébergées dans ArcGIS Enterprise 10.6.1.
• BUG-000116589 - Les outils Chemin de coût et Chemin de coût en polyligne avec un sens de circulation en entrée pour le raster d’antécédence sont lents.
• BUG-000116047 - L’outil Chemin de coût génère une sortie incorrecte lorsque le raster de sens de circulation est utilisé en entrée pour le raster de distance et d’antécédence.
• BUG-000115799 - Le zoom excessif ne fonctionne pas correctement sur les couches de tuiles vectorielles hébergées dans ArcGIS Enterprise 10.6.1 lorsqu’elles sont affichées dans le Map Viewer.
• BUG-000115304 - Dans un site ArcGIS Server à plusieurs machines, l’opération ImportSite modifie les options de propriété de la machine serveur appartenant à HTTPS sur les machines autres que celle qui exécute l’opération ImportSite
• BUG-000115147 - Lorsque ITopologicalOperator::Buffer est appelé sur un polygone, si le polygone est dégénéré à un point, l’appel de la zone tampon se bloque.
• BUG-000113368 - Les outils d’allocation euclidienne, de distance et de direction sont beaucoup plus lents dans la version actuelle que dans la version précédente d’ArcMap.
• BUG-000113339 - L’exportation du site ArcGIS Server 10.6 (ou 10.7.1) renvoie le message d’erreur, « Export operation failed. null » (L’exportation a échoué) dans Amazon Web Services (AWS) sur Microsoft Windows et Linux (ou Azure).
• BUG-000111075 - Un service d’entités utilisé dans un service GeoEvent ne parvient pas à établir à nouveau la communication avec la base de données lors de la reprise de la connexion à la base de données après une défaillance de communication.
• BUG-000111075 - Aucun recyclage de service pour le serveur d’entités après l’échec de la connexion à une base de données.
• BUG-000098315 - L’outil Échantillon renvoie des valeurs Null lorsque le raster en entrée est une mosaïque.
• BUG-000096996 - ExtractMultiValuestoPoints, ExtractValuestoPoints renvoie une erreur lorsque l’entité ponctuelle en entrée est une couche d’événements XY.
• BUG-000089296 - Les services d’entités joints dans ArcGIS GIS Server sont téléchargés dans les navigateurs Web Mozilla Firefox et Google Chrome, au lieu d’être ouverts dans un nouvel onglet ou une nouvelle fenêtre de navigateur.

Installation du correctif sous Windows

Procédure d’installation :

Ce correctif doit être installé sur toutes les installations ArcGIS Server liées au site ArcGIS Server.

Le produit ArcGIS répertorié dans la table doit être installé sur votre système avant d’installer un correctif. Le programme d’installation de chaque correctif est propre au produit ArcGIS de la liste. Pour savoir quels produits sont installés sur votre système, consultez la section Procédure d’identification des produits ArcGIS installés. Esri recommande d’installer le correctif pour chaque produit présent sur le système.

1. Téléchargez le fichier approprié à un emplacement différent du répertoire d’installation ArcGIS.
   
   

2. ArcGIS 10.8.1
   ArcGIS Server	ArcGIS-1081-S-SEC2021U1-Patch.msp
   Somme de contrôle      (SHA256)	2C65ABDF94DCEB08CA4021F72A06F72E6F8D30BD1CE1334237C3834135D38392
   ArcGIS 10.7.1
   ArcGIS Server	ArcGIS-1071-S-SEC2021U1-Patch.msp
   Somme de contrôle      (SHA256)	843F868D41CA7BA6B6F7B453E037DCD496CA45A98D2C969421A15588766A40FE
   ArcGIS 10.6.1
   ArcGIS Server	ArcGIS-1061-S-SEC2021U1-Patch.msp
   Somme de contrôle      (SHA256)	7B7CF668BB3B500CEC5B7D9580DBF90D76DE63BAEDC0EC92A000884EA1B6FD1B

   
   
3. Vérifiez que vous avez accès en écriture au répertoire d’installation ArcGIS.
4. 
   
5. Double-cliquez sur ArcGIS-1081-S-SEC2021U1-Patch.msp pour lancer l’installation.
   
   REMARQUE : si l’installation ne démarre pas lorsque vous double-cliquez sur le fichier MSP, vous pouvez la lancer manuellement à l’aide de la commande suivante :
   
   msiexec.exe /p [emplacement du correctif]\ArcGIS-1081-S-SEC2021U1-Patch.msp
   
6. 
   

Installation du correctif sous Linux

Procédure d’installation :

Effectuez la procédure d’installation suivante en tant que propriétaire de l’installation ArcGIS. Le propriétaire de l’installation est le propriétaire du dossier ArcGIS. Ce correctif doit être installé sur toutes les installations ArcGIS Server liées au site ArcGIS Server.

Le produit ArcGIS répertorié dans la table doit être installé sur votre système avant d’installer un correctif. Le programme d’installation de chaque correctif est propre au produit ArcGIS de la liste. Pour savoir quels produits sont installés sur votre système, consultez la section Procédure d’identification des produits ArcGIS installés. Esri recommande d’installer le correctif pour chaque produit présent sur le système.

1. Téléchargez le fichier approprié à un emplacement différent du répertoire d’installation ArcGIS.
   
   
   

   ArcGIS 10.8.1
   ArcGIS Server	ArcGIS-1081-S-SEC2021U1-Patch-linux.tar
   Somme de contrôle      (SHA256)	11CD57E10608E9C3F52389109326292D439E1782D017657BA294324CEB8C660F
   ArcGIS 10.7.1
   ArcGIS Server	ArcGIS-1071-S-SEC2021U1-Patch-linux.tar
   Somme de contrôle      (SHA256)	304DB4DFE09F7382AA5EAECF56E55779EFD6135BBFDAD3AF7212F7F318D070C0
   ArcGIS 10.6.1
   ArcGIS Server	ArcGIS-1061-S-SEC2021U1-Patch-linux.tar
   Somme de contrôle      (SHA256)	37415F055AF789C47323847309020BC22CCA1BA5DBA5B9830CE6A9E6B43F1DDC

   
   
2. Vérifiez que vous disposez d’un accès en écriture au répertoire d’installation ArcGIS et que personne n’utilise ArcGIS.
3. 
   
4. Extrayez le fichier *.tar spécifié en saisissant ce qui suit :
   
   % tar -xvf ArcGIS-1081-S-SEC2021U1-Patch-linux.tar
5. 
   
6. Démarrez l’installation en saisissant ce qui suit :
   
   % ./applypatch
   
   Cette opération lance la boîte de dialogue de la procédure d’installation pilotée par menu. Les sélections par défaut sont notées entre parenthèses ( ). Pour quitter la procédure d’installation, appuyez sur la touche « q » à tout moment.
7. 
   

Désinstallation du correctif sous Windows

Désinstallation du correctif sous Linux

Mises à jour du correctif

Procédure d’identification des produits ArcGIS installés

Obtenir de l’aide

Download ID:7879