Patches and updates

Portal for ArcGIS Security 2018 Update 2 Patch

Published: July 24, 2018

摘要

此安全修补程序可解决 Portal for ArcGIS 中发现的多个安全漏洞。 Esri 建议所有使用 Portal for ArcGIS 10.5.1、10.4.1 和 10.3.1 的客户都应用此修补程序。

说明

Esri® 发布了 Portal for ArcGIS 安全性 2018 更新 2 修补程序。 Esri 建议所有使用 Portal for ArcGIS 10.5.1、10.4.1 和 10.3.1 的客户都应用此修补程序。 此修补程序专门处理“此修补程序解决的问题”下方列出的问题。 此安全修补程序为累积修补程序，其中包括一些早期修补程序中的非安全相关修复程序，这些修复程序也在以下的“此修补程序解决的问题”下列出。 其专门处理此修补程序解决的问题下方列出的问题。


此修补程序解决的问题


  • BUG-000114533 - 如果门户恢复或升级失败，则应自动回滚到先前的状态。
  • BUG-000114489 - 代理访问控制漏洞不正确。
  • BUG-000114488 - Portal for ArcGIS 中存在敏感信息存储不足漏洞。 （仅限 Portal for ArcGIS 10.5.1）
  • BUG-000112749 - Portal for ArcGIS 中存在反映的跨站点脚本 (XSS) 漏洞。
  • BUG-000112358 - Portal for ArcGIS 中存在反映的跨站点脚本 (XSS) 漏洞。
  • BUG-000112360 - Portal for ArcGIS 中存在存储的跨站点脚本 (XSS) 漏洞。 （仅限 Portal for ArcGIS 10.5.1）
  • BUG-000112357 - Portal for ArcGIS 中的重定向未经验证。
  • BUG-000112161 - Portal for ArcGIS 中存在反映的跨站点脚本 (XSS) 漏洞。

为避免冲突，10.5.1 版本还处理：
  • BUG-000113157 - 如果备份包含 Thumbs.db 文件，则 Portal for ArcGIS 导入站点将失败。
  • BUG-000112088 - Portal for ArcGIS 10.5.1 Web 地图中的“显示表”操作不返回图像服务的属性。
  • BUG-000112026 - 应用 Portal for ArcGIS 安全性 2018 更新 1 修补程序后，在登录 Portal for ArcGIS 主页应用程序时，如果域用户键入了错误的密码，则所有域用户将被 Portal for ArcGIS 锁定。
  • BUG-000111942 - 应用过滤器时，共享要素图层上不会保留符号系统，且其他用户可以访问该图层以创建自己的 Web 地图。
  • BUG-000111090 - 在通过 Portal for ArcGIS 中 Web AppBuilder 的“添加数据”微件添加的图层上使用“创建图层”功能时，“选择”微件将丢失所选内容。
  • BUG-000111077 - 执行错误：关闭图层可见性的情况下在门户 Web 地图中编辑标注时会有非法值分配到要素。
  • BUG-000111058 - Arcade Editor 调用“fast.fonts.net”域，导致断开连接的网络出现严重延迟。
  • BUG-000110632 - 将基于 GeoEvent 的地图和要素服务都添加到地图查看器内容列表时，不应将存在关联的上述地图和服务组合在一起。
  • BUG-000110542 - 在 Web AppBuilder for ArcGIS 中，如果仅选择一个要素，则不会启用“创建图层”选项。
  • BUG-000110291 - Portal for ArcGIS 不应解析实体标签。
  • BUG-000110290 - 从 Portal for ArcGIS 内部数据库中移除无效的记录条目。
  • BUG-000109870 - 在地图查看器中，矢量切片在缩小时不遵循可见比例设置，且面将分布在不相邻区域中。
  • BUG-000109517 - 在 10.5.1 Portal for ArcGIS Map Viewer 中，在指定了“允许对地图服务发布分配唯一的数字 ID”设置的情况下，“创建标注”面板不适用于从地图文档发布的地图服务。
  • BUG-000108753 - 已启用门户层身份验证和自动帐户创建的已配置 Portal for ArcGIS 将创建超过可用许可数量的帐户。
  • BUG-000108155 - 对于配置了集成 Windows 身份验证 (IWA) 并与 ArcGIS Server 联合的门户，一旦令牌到期，则会在地图查看器中触发无限的 generateToken 请求。
  • BUG-000107814 - “创建标注”在 Portal for ArcGIS 10.5.1 for ArcGIS Server 10.5.1 Map Services 中不起作用。
  • BUG-000107440 - 当证书中未列出实际的计算机名称时，Portal for ArcGIS 将不允许访问 portaladmin。
  • BUG-000107004 - 在 Internet Explorer 中的 Web AppBuilder for ArcGIS for Portal for ArcGIS 10.5.1 中运行“提取数据任务”地理处理服务时，将返回错误消息。
  • BUG-000106917 - 当启用“仅 HTTPS”时，由于所请求切片上存在证书不匹配错误，Portal for ArcGIS 10.5.1 Map Viewer 不会加载 Bing Roads Base Map。
  • BUG-000106909 - 过滤地图服务不会过滤 Web 地图中的属性表。
  • BUG-000106874 - 使用按图层搜索功能时，附件不会保留在 Web 地图的弹出窗口中。
  • BUG-000106303 - Portal for ArcGIS 未完全遵循安全性配置中的“domainControllerAddress”设置。
  • BUG-000105202 - 使用保存的凭据访问门户中的安全服务时，代理的生成令牌请求不支持 nonProxyHosts 参数。
  • BUG-000104949 - WGS84 坐标系中的底图不会在“项目详细信息设置范围”对话框中绘制。
  • BUG-000103846 - Portal for ArcGIS 具有硬编码凭据漏洞。
为避免冲突，10.4.1 版本还处理：
  • BUG-000114325 - 更新到 Chrome 67 后，Portal for ArcGIS 10.3.x 和 10.4.x 中的多个页面无法正确显示。
  • BUG-000110291 - Portal for ArcGIS 不应解析实体标签。
  • BUG-000110290 - 从 Portal for ArcGIS 内部数据库中移除无效的记录条目。
  • BUG-000108753 - 已启用门户层身份验证和自动帐户创建的已配置 Portal for ArcGIS 将创建超过可用许可数量的帐户。
  • BUG-000108155 - 对于配置了集成 Windows 身份验证 (IWA) 并与 ArcGIS Server 联合的门户，一旦令牌到期，则会在地图查看器中触发无限的 generateToken 请求。
  • BUG-000104116 - 使用企业登录帐户向 Portal for ArcGIS 添加成员时，无法添加用户名少于六个字符的用户，即使 Portal for ArcGIS 中实际不存在此类限制时也是如此。
  • BUG-000104718 - 如果将切片图层作为具有存储凭据的项目进行添加，则 Portal for ArcGIS 地图查看器中不会显示来自 ArcGIS Online 的托管切片图层的切片。
  • BUG-000103731 - 在高可用性门户部署中，如果主节点失去与内容目录的连接，则主节点将恢复为“创建新站点”状态。
  • BUG-000103700 - 如果未选中“允许匿名访问门户”，则门户登录页面将以英语而非默认语言显示。
  • BUG-000102927 - 当图层在地图查看器中显示缓慢时，表示图层无响应的消息在图层绘制完成后无法自动清除。
  • BUG-000102793 - 较大的活动目录组结构将导致 Portal for ArcGIS 出现延迟问题。
  • BUG-000101562 - 将 Java Web Adaptor 与 Apache Tomcat 7.0.73+ 或 8.0.39+ 搭配使用时，无法访问 Portal for ArcGIS 的“编辑设置”选项。
  • BUG-000100420 - 当取消选中图层组并选中子图层时，一旦为地图服务要素图层刷新或再次启动应用程序，“图层列表”微件中图层的复选框将不起作用。
  • BUG-000100424 - 使用“通过地图服务查看结果”参数发布地理处理服务时，Web AppBuilder for ArcGIS 地理处理微件将无法显示输出表。
  • BUG-000099447 - 将浏览器更新到 Firefox 49 或 Chrome 54 后，无法在门户主页应用程序中上传文件。
  • BUG-000098148 - 刷新企业用户和群组的成员资格无法支持通用群组中的嵌套组成员资格。
  • BUG-000098559 - Portal for ArcGIS 中的重定向未经验证。
  • BUG-000098482 - Portal for ArcGIS 中存在跨站点脚本 (XSS) 问题。
  • BUG-000098118 - Portal for ArcGIS 显示内部信息。
  • BUG-000098025 - 绕过 Portal for ArcGIS 中的 URL 重定向规则。
  • BUG-000097777 - 使用 WebContextURL 属性定义反向代理时，支持 Portal for ArcGIS 的 SAML 登录帐户。
  • BUG-000096571 - Portal for ArcGIS 中的 cookie 上不存在安全属性。
  • BUG-000096570 - Portal for ArcGIS 中可能存在反映的跨站点脚本 (XSS)。
  • BUG-000096161 - 在 Portal for ArcGIS 地图查看器中使用空间分析工具执行分析时，返回错误“无法刷新项目”。 当 ArcGIS Web Adaptor（或任何反向代理）位于与托管 ArcGIS Server 不同的计算机上时，会发生此错误。
  • BUG-000094537- 对于名称与其他域中群组的名称相同的企业级群组，其中的 Active Directory 用户即使不属于其他域中群组，也可以访问 Portal for ArcGIS 10.4。
  • BUG-000094523 - 跨域用户无法在 Portal for ArcGIS 10.4 中查看其所属的企业级群组。
  • BUG-000091316 - 某些门户上传操作无法正确验证文件类型。
  • ENH-000092759 - 支持最小长度为 3 个字符的企业用户名。
  • NIM104313 - 在 Portal for ArcGIS 中注销企业用户不会将用户注销信息传递给相应的 SAML 身份提供者。

为避免冲突，10.3.1 版本还处理：
  • BUG-000114325 - 更新到 Chrome 67 后，Portal for ArcGIS 10.3.x 和 10.4.x 中的多个页面无法正确显示。
  • BUG-000110291 - Portal for ArcGIS 不应解析实体标签。
  • BUG-000110290 - 从 Portal for ArcGIS 内部数据库中移除无效的记录条目。
  • BUG-000108753 - 已启用门户层身份验证和自动帐户创建的已配置 Portal for ArcGIS 将创建超过可用许可数量的帐户。
  • BUG-000108155 - 对于配置了集成 Windows 身份验证 (IWA) 并与 ArcGIS Server 联合的门户，一旦令牌到期，则会在地图查看器中触发无限的 generateToken 请求。
  • BUG-000101456 - 托管在 Portal for ArcGIS 计算机以外的 Web 服务器上的 Web AppBuilder for ArcGIS 应用程序无法在使用集成 Windows 身份验证 (IWA) 保护 Portal for ArcGIS 的 30 分钟空闲时间后显示要素图层。
  • BUG-000099447 - 将浏览器更新到 Firefox 49 或 Chrome 54 后，无法在门户主页应用程序中上传文件。
  • BUG-000097640 - 将 BasemapGallery dijit 与缓存的图像服务一同用作底图时，BasemapGallery dijit 将发送导出图像请求而非切片请求。
  • BUG-000098559 - Portal for ArcGIS 中的重定向未经验证。
  • BUG-000098482 - Portal for ArcGIS 中存在跨站点脚本 (XSS) 问题。
  • BUG-000098118 - Portal for ArcGIS 显示内部信息。
  • BUG-000098025 - 绕过 Portal for ArcGIS 中的 URL 重定向规则。
  • BUG-000096889 - 当门户的 IP 地址解析为两个不同的完全限定域名时，ArcGIS Server 无法与 Portal for ArcGIS 通信。
  • BUG-000096571 - Portal for ArcGIS 中的 cookie 上不存在安全属性。
  • BUG-000096570 - Portal for ArcGIS 中可能存在反映的跨站点脚本 (XSS)。
  • BUG-000094105 - 门户 generatetoken 操作无法拒绝在查询参数中包含用户名或密码的 POST 请求。
  • BUG-000092447 - Tomcat 漏洞 CVE-2014-0099 - 整数溢出攻击。
  • BUG-000092445 - Tomcat 漏洞“CVE-2014-0230 - 通过线程消耗的拒绝服务攻击”。
  • BUG-000091354 - 门户无法刷新门户服务器所在域之外的用户的成员资格。
  • BUG-000091316 - 某些门户上传操作无法正确验证文件类型。
  • BUG-000090845 - 限制访问 Tomcat 内部关闭端口。
  • BUG-000090552 - 在 Portal for ArcGIS 10.3.1 中编辑项目的 URL 设置时，项目 URL 不会保存并恢复为原始 URL。 （仅限 Linux）
  • BUG-000090024 - 无法在 Portal for ArcGIS 中为具有唯一图层 ID 的地图服务要素图层配置弹出窗口。
  • BUG-000088826 - 从 10.3 或更早版本升级后，用户无法更改 Portal for ArcGIS 中内置门户帐户的密码。
  • BUG-000088682 - 将门户配置为“仅 SSL”时，Web AppBuilder URL 将保存为 HTTP 而非 HTTPs。
  • BUG-000088663 - 当使用来自非 ArcGIS for Server WMTS 服务器的 WGS84 的 Web 地图切片服务 (WMTS) 服务被用作 Portal for ArcGIS 中的底图时，来自世界地理编码服务的地理编码结果会显示在错误的位置。
  • BUG-000088505 - 如果共享内容文件夹不可用，则不应将门户高可用性配置重置为独立门户。
  • BUG-000086481 - 在地图查看器中重新投影托管服务时，会显示不正确的几何。
  • BUG-000085589 - 当门户和 ArcGIS Server 都配置为使用集成 Windows 身份验证 (IWA) 且两个 Web Adaptor 都部署在同一服务器上时，无法显示直接添加到门户 Web 地图的地图图层。
  • BUG-000085482- 在 Portal for ArcGIS 10.3 中搜索要素图层中的值时，如果忽略了 supportsPagination 参数，则会发生故障。
  • BUG-000084180 - 在 Portal for ArcGIS 中编辑用户个人资料时，“编辑我的个人资料”页面下的“名字”和“姓氏”文本字段始终显示为空白。

在 Windows 上安装此修补程序


安装步骤：


在安装此修补程序之前，必须先安装 Portal for ArcGIS。

  1. 将相应的文件下载到 ArcGIS 安装位置以外的其他位置。

  2. Portal for ArcGIS 10.5.1   校验和 (Md5)
         
      ArcGIS-1051-PFA-SEC2018U2-Patch.msp D7AA6160DD402B33EB7C91B4E1D71743
         
    Portal for ArcGIS 10.4.1   校验和 (Md5)
         
      ArcGIS-1041-PFA-SEC2018U2-Patch.msp F598745C892422730B634F5A6FB30E16
         
    Portal for ArcGIS 10.3.1 校验和 (Md5)
     
      即将推出！
         

  3. 请确保具有对 ArcGIS 安装位置的写入权限。

  5. 双击 ArcGIS-<版本>-PFA-SEC2018U2-Patch.msp 启动安装进程。

    注：如果双击 MSP 文件后未启动安装程序安装进程，可使用下列命令手动启动安装程序安装进程：

    msiexec.exe /p [修补程序位置]\ArcGIS-<版本>-PFA-SEC2018U2-Patch.msp


在 Linux 上安装此修补程序


安装步骤：


以 ArcGIS 安装所有者身份完成以下安装步骤。 安装所有者为 arcgis 文件夹的所有者。

在安装此修补程序之前，必须先安装 Portal for ArcGIS。

  1. 将相应的文件下载到 ArcGIS 安装位置以外的其他位置。


    Portal for ArcGIS 10.5.1   校验和 (Md5)
         
      ArcGIS-1051-PFA-SEC2018U2-Patch-linux.tar 3D384912E34002408AA8E32458A7D79F
         
    Portal for ArcGIS 10.4.1   校验和 (Md5)
         
      ArcGIS-1041-PFA-SEC2018U2-Patch-linux.tar 61BFF8BEAC7047FADE59A97AC87D4BCA
         
    Portal for ArcGIS 10.3.1 校验和 (Md5)
     
      即将推出！  
         

  2. 请确保具有对 ArcGIS 安装位置的写入权限，并且当前没有用户正在使用 ArcGIS。

  4. 输入下列命令提取指定的 tar 文件：

    % tar -xvf ArcGIS-<版本>-PFA-SEC2018U2-Patch-linux.tar

  6. 输入下列命令启动安装过程：

    % ./applypatch

    这样会启动菜单驱动安装步骤的对话框。默认选项以圆括号 ( ) 注明。您可随时输入“q”退出安装流程。

在 Windows 上卸载此修补程序


  • 要在 Windows 上卸载此修补程序，请打开 Windows 控制面板，然后导航至已安装的程序。 确保“查看已安装的更新”（位于“程序和功能”对话框的左上角）处于活动状态。 从程序列表中选择修补程序名称，然后单击“卸载”以移除该修补程序。

在 Linux 上卸载此修补程序


  • 卸载此修补程序仅适用于 10.5.1 版本。要移除此修补程序，请导航到 /tmp 目录，然后以 ArcGIS 安装所有者身份运行以下脚本：

    ./patchremove

    注：仅限移除最近安装的修补程序。
  • 重新启动 ArcGIS 服务

修补程序更新

请定期访问修补程序和补丁包页面，以检查是否存在其他可用的修补程序。 将在此处发布有关此修补程序的最新信息。

2018 年 8 月 13 日：Portal for ArcGIS Security 2018 Update 2 Patch 10.5.1 版本现已可供下载。

如何确定已安装的 ArcGIS 产品

要确定已安装的 ArcGIS 产品，请选择适用于您的环境的适当 PatchFinder 实用程序版本，然后在本地计算机上运行它。 PatchFinder 将列出已在本地计算机上安装的所有产品、热修复程序和修补程序。

获取帮助

如果在安装此修补程序时遇到任何问题，美国用户请拨打 Esri 技术支持热线 1-888-377-4575。 国际用户请联系您当地的 Esri 软件分销商。


Download ID:7637

Get help from ArcGIS experts

Contact technical support

Download the Esri Support App

Go to download options