A propos d'ArcGIS et des récentes vulnérabilités Brotli / Node.js
Le 22 octobre 2026, les chercheurs en sécurité d'Open AI ont annoncé une vulnérabilité critique dans le décodeur Brotli de Google, identifiée comme CVE-2026-111497. Cette vulnérabilité a été répertoriée comme vulnérabilité exploitable connue (KEV) le 27/10/26 et porte plusieurs noms, dont Node2Shell, Broccoli2Shell et HTTP2Shell.
État des produits ArcGIS de base :
- ArcGIS Online -Mesures d’atténuation déployées et mises à jour en cours
- ArcGIS Enterprise 11.5, 12.0, 12.1 - Versions concernées - Correctifs en cours d'élaboration
- ArcGIS Pro 3.5 et versions ultérieures - Problème concerné - Correctif en cours d'élaboration
Les correctifs seront déployés progressivement et l'état des mises à jour sera indiqué ici. Les clients utilisant des versions obsolètes ou non finalisées du produit sont invités à mettre à niveau leur déploiement.
Les mesures d'atténuation partielles à envisager selon les circonstances de déploiement sont les suivantes :
ArcGIS Pro, ArcGIS Enterprise ArcGIS Web Adaptor (IIS) et ArcGIS Enterprise SDK SOEs/SOIs
- Ces produits utilisent l'environnement d'exécution .NET de Microsoft, que les clients déploient séparément de nos produits. Veuillez mettre à jour immédiatement votre environnement d'exécution .NET vers une version corrigée disponible chez Microsoft ici.
- Nous vous recommandons vivement de mettre en place des processus pour mettre à jour régulièrement ce composant (voir le guide de renforcement de la sécurité d'ArcGIS Enterprise).
ArcGIS Server
Désactivez les flux de données personnalisés (custom data feeds) du SDK ArcGIS Enterprise jusqu'à la publication d'un correctif. Cette fonctionnalité n'est pas activée par défaut et n'est actuellement pas utilisée par la plupart des clients. Si elle est essentielle à vos opérations, veuillez ouvrir un ticket de support pour obtenir des instructions supplémentaires.
Des informations complémentaires concernant cette vulnérabilité et les produits ArcGIS seront publiées ici le cas échéant.
Pour les utilisateurs des applications arcOpole, plus d'informations sont fournies sur ce forum arcOpole (nécessite une authenfication).
Modifier
0 comments :
Enregistrer un commentaire