arcOrama: Le blog consacré à ArcGIS et aux technologies Esri

Affichage des articles dont le libellé est Sécurité. Afficher tous les articles

Action requise pour les organisations ArcGIS Online utilisant SAML

Les administrateurs d'organisation ArcGIS Online qui ont activé les assertions signées et/ou chiffrées conformément aux bonnes pratiques d'ArcGIS Online pour la sécurité SAML doivent obtenir le nouveau fichier de métadonnées + certificat du fournisseur de services ArcGIS Online et l'associer à leur fournisseur d'identité SAML (par exemple, les applications d'entreprise Azure Active Directory avec chiffrement de jetons) avant le 24 septembre 2024, sinon les connexions ArcGIS Online avec les comptes Enterprise (SAML) échoueront.

Vous devez suivre les étapes suivantes :

Étape 1 - Téléchargez le fichier de métadonnées mis à jour depuis ArcGIS Online :

Connectez-vous à www.arcgis.com avec vos identifiants administratifs
Cliquez sur "Organisation" puis "Paramètres" puis sur "Sécurité"
Faites défiler jusqu'à "Connexions > Connexion SAML", puis cliquez sur le lien "Télécharger les métadonnées du fournisseur de services" (comme indiqué ci-dessous). Cette action téléchargera le fichier de métadonnées (qui contient le certificat mis à jour) qui sera chargé sur votre fournisseur d'identité SAML.

Étape 2 - Téléchargez le fichier de métadonnées dans votre IDP SAML :

Dans la configuration de votre application d’entreprise qui vous permet de configurer le fournisseur d’identité SAML, recherchez l’entrée correspondant à votre organisation ArcGIS Online.
Téléchargez le fichier de métadonnées mis à jour téléchargé depuis ArcGIS Online vers votre fournisseur d'identité SAML. Consultez les instructions IDP SAML d'ArcGIS Online pour obtenir des instructions spécifiques à l'IDP sur la manière d'enregistrer le XML de métadonnées du fournisseur de services auprès de votre IDP.

Les administrateurs qui ont activé la fonctionnalité "Autoriser l'assertion de chiffrement" des bonnes pratiques pour la sécurité SAML doivent également suivre les étapes 3 à 4 ci-dessous :

Étape 3 - Extraire le certificat du fichier de métadonnées ArcGIS Online :

Extrayez et validez le certificat dans le fichier metadata.xml en copiant les caractères entre les balises <X509Certificate> et </X509Certificate>, en collant les données dans un fichier vide et en l'enregistrant avec une extension .cer.

Étape 4 - Mettre à jour le certificat de chiffrement de jeton dans le fournisseur d’identité :

Dans la configuration de votre application d’entreprise de fournisseur d’identité SAML, recherchez l’entrée correspondant à votre organisation ArcGIS Online.
Fournissez le certificat extrait dans la fonctionnalité « Chiffrement » de l'application ArcGIS Online. Reportez-vous à la documentation de votre fournisseur d'identité SAML pour obtenir des instructions spécifiques sur ce flux de travail.

En cas de soucis :

Problème : lorsque j'essaie de me connecter à l'aide de SAML, j'obtiens le message d'erreur suivant: "Impossible de se connecter à l'aide d'IDP. Échec de la validation du déballage de l'assertion chiffrée".

Cause principale : le fournisseur d'identité chiffre l'assertion SAML à l'aide d'un certificat expiré ou d'un certificat qu'ArcGIS Online ne reconnaît pas.

Solution : effectuez les étapes 3 à 4 du blog ci-dessus. Ensuite, dans la configuration Fournisseur d'identité > SAML > Chiffrement de jeton pour l'application ArcGIS Online, désactivez (ou supprimez) les certificats précédemment configurés ou expirés.
Pout tout autre problème ou question, n'hésitez pas à contacter votre interlocuteur technique chez Esri ou le support technique.

Mise à jour du correctif de sécurité Portal for ArcGIS Enterprise Sites 2023

Disponibilité d'ArcGIS Pro 3.0.3 (Patch 3)

Vulnérabilité OpenSSL v3

Dysfonctionnement d'ArcGIS Pro 2.8 et 2.9 sur la modification de symbologie suite à des mises à jour du framework .Net

Les mises à jour cumulatives récentes de Microsoft entraînent un dysfonctionnement pour les utilisateurs d'ArcGIS Pro 2.8.x et 2.9.x dans le contexte de la modification de la symbologie des couches. Cet article fournit des informations supplémentaires sur ce problème et sur ce qu'Esri recommande aux utilisateurs de faire.

Qu'est-ce qui cause ce crash ?

Ce problème est causé par une mise à jour dans le framework .NET 4.8.x et affecte uniquement les utilisateurs d'ArcGIS Pro 2.8.x et 2.9.x qui ont les mises à jour cumulatives Microsoft appliquées sur leur machine (Windows 10 ou 11).

Les utilisateurs rencontreront ce problème s'ils accèdent à une galerie de symboles ou à une galerie de couleurs, à l'exception de celle située dans la vue "Catalogue". La plupart du temps, le blocage se produit lors de l'ouverture de la galerie de symboles dans le volet de symbologie (par exemple, en cliquant sur un symbole d'une couche dans le volet "Contenu"). D'autres scénarios assez courants qui provoqueront le problème sont l'ouverture du sélecteur de couleurs directement le symbole dans le volet "Contenu" ou l'accès à n'importe quel sélecteur de symboles à partir du ruban.

Cela affecte-t-il la version ArcGIS Pro 3.0 ?

Non. ArcGIS Pro 3.0.x est basé sur .NET 6, il n'est donc pas affecté par cette récente mise à jour Microsoft.

Quelles sont les recommandations d'Esri ?

Étant donné qu'ArcGIS Pro 3.0.x est basé sur .NET 6, ce problème peut être résolu en effectuant une mise à niveau vers ArcGIS Pro 3.0 ou une version ultérieure.

Notez qu'ArcGIS Pro 3.0 est une version majeure. Lors de la mise à niveau depuis ArcGIS Pro 2.x, les utilisateurs doivent consulter et comprendre la documentation suivante avant de passer à la version 3.x :

Que se passe-t-il si vous ne pouvez pas mettre à jour votre ArcGIS Pro en version 3.x ?

Pour les utilisateurs qui ne peuvent pas mettre à jour vers ArcGIS Pro 3.x, ce problème sera résolu dans ArcGIS Pro 2.9 Patch 5 (2.9.5), dont la disponibilité est prévue le 18/19 octobre 2022 (sous réserve de modification).

Utilisateurs de la version 2.9.x

Mettez à jour vers ArcGIS Pro 2.9 Patch 5 (2.9.5) lorsqu'il sera disponible. Jusqu'à ce que le correctif soit disponible, annulez la mise à jour Microsoft à l'origine de ce problème en suivant les étapes ci-dessous :

Accédez à la section "Mises à jour installées" dans "Programmes et Fonctionnalités".
Désinstallez manuellement la mise à jour suivante en fonction du système :

KB5017263 – Aperçu de la mise à jour cumulative pour .NET Framework 3.5 et 4.8 pour Windows 10, version 1809 et Windows Server, version 2019.
KB5017264 - Aperçu de la mise à jour cumulative pour .NET Framework 3.5 et 4.8 pour Windows 11.
KB5017267 – Aperçu de la mise à jour cumulative pour .NET Framework 3.5 et 4.8.1 pour Windows 11 pour x64.
KB5017262 – Aperçu de la mise à jour cumulative pour .NET Framework 3.5 et 4.8 pour Windows 10, version 20H2, Windows 10 version 21H1 et Windows 10 version 21H2.
KB5017270 – Aperçu de la mise à jour cumulative pour .NET Framework 3.5 et 4.7.2 pour Windows 10, version 1809 et Windows Server, version 2019.
KB5017265 – Aperçu de la mise à jour cumulative pour .NET Framework 3.5 et 4.8 pour le système d'exploitation serveur Microsoft version 21H2.
KB5017268 – Aperçu de la mise à jour cumulative pour .NET Framework 3.5 et 4.8.1 pour le système d'exploitation serveur Microsoft version 21H2.
KB5017266 – Aperçu de la mise à jour cumulative pour .NET Framework 3.5 et 4.8.1 pour Windows 10, version 20H2, Windows 10 version 21H1 et Windows 10 version 21H2

Clients 2.8.x

Pour les clients qui doivent rester sur ArcGIS Pro 2.8.x, suivez les instructions de restauration ci-dessus. Nous travaillons sur un correctif pour la version 2.8 qui sera disponible à une date ultérieure.

Pour tout renseignement complémentaire, vous pouvez prendre contact avec le service de support technique d'Esri France.

Complément du 20/10/2022: Le patch correctif 5 pour ArcGIS Pro 2.9 est disponible.

Complément du 01/11/2022: Le patch correctif 8 pour ArcGIS Pro 2.8 est disponible via My Esri.

Action requise pour les organisations ArcGIS Online utilisant SAML

Les administrateurs d'organisation ArcGIS Online qui ont activé les options SAML avancées "Activer les demandes signées" et/ou "Chiffrer l'assertion" devront obtenir le nouveau fichier de métadonnées du fournisseur de services ArcGIS Online et l'associer à leur fournisseur d'identité avant le 25 septembre 2022.

Les clients qui utilisent ces options SAML avancées doivent charger le fichier de métadonnées ArcGIS Online mis à jour avec le nouveau certificat vers leur fournisseur d'identité (par exemple, Azure Active Directory Enterprise Applications avec encryptage de Token). Si cette action n'est pas réalisée avant le 25/09/2022, les utilisateurs recevront une erreur spécifique IDP lorsqu'ils tenteront de s'authentifier dans ArcGIS Online avec un compte Enterprise. Le nouveau certificat ArcGIS Online SAML expirera le 27/09/2023.

Pour obtenir le fichier de métadonnées mis à jour :

Connectez-vous à www.arcgis.com avec vos identifiants administratifs
Cliquez sur "Organisation" puis "Paramètres" puis "Sécurité"
Faites défiler jusqu'à "Connexions d'entreprise" puis cliquez sur le bouton "Obtenir un fournisseur de services". Cette action téléchargera les métadonnées nécessaires pour votre IDP (Identity Provider).
Téléchargez/importez les métadonnées XML du fournisseur de services téléchargées dans votre fournisseur d'identité. Consultez les instructions SAML IDP d'ArcGIS Online pour obtenir des instructions spécifiques à l'IDP sur la façon d'enregistrer le XML de métadonnées du fournisseur de services auprès de votre IDP.
FACULTATIF – Vous pouvez extraire et valider le certificat dans ce fichier XML en copiant les caractères entre les balises <ds:X509Certificate> et </ds:X509Certificate>, en collant les données dans un fichier vide et en l'enregistrant avec une extension .cer.

L'équipe du support Esri a publié un article technique (en anglais) qui décrit ce problème en détail :

Signature d'ArcGIS Online SAML Authentication et renouvellement du certificat de chiffrement

Correctifs de sécurité pour le portail ArcGIS Enterprise

Les correctifs Log4j pour ArcGIS Enterprise sont désormais disponibles en tant que patches

ArcGIS et vulnérabilités de Log4j

Esri a publié le 12/12/2021 des informations critiques d'alerte de sécurité pour les logiciels ArcGIS concernant une vulnérabilité de sécurité identifiée comme CVE-2021-44228, CVE-2021-45046, CVE-2021-4104, CVE-2021-45105 et CVE-2021-44832.

ArcGIS et les vulnérabilités Log4j

Esri a eu connaissance et a étudié l'impact des vulnérabilités de Log4j sur les logiciels et services ArcGIS avec une priorité très élevée. Esri a publié aujourd'hui (15/12/2021) une mise à jour des informations relatives aux tests réalisés et sur une procédure d'atténuation applicable. Vous pouvez consulter cet article de référence sur le sujet publié et mis à jour par Esri.

ArcGIS Enterprise

ArcGIS Enterprise et plusieurs produits connexes, notamment ArcGIS GeoEvent Server, intègrent ce composant Log4j. ArcGIS Enterprise version 10.7.1 et antérieures sont potentiellement vulnérables. Les équipes Esri ont publié une procédure d'atténuation que vous pouvez retrouver dans cet article du blog ArcGIS.

ArcGIS Monitor

ArcGIS Monitor n'inclut pas le composant Log4j, il n'est donc pas exposé à cette vulnérabilité potentielle.

ArcGIS Pro et ArcMap

Les versions récentes d'ArcGIS Pro contiennent le composant Log4j mais ne sont pas connues pour être exploitables car, dans le cas d'ArcGIS Pro, le composant logiciel n'écoute pas le trafic distant.

ArcMap ne contient pas le composant Log4j, il n'est pas concerné par cette vulnérabilité.

ArcGIS Online

Esri a effectué des correctifs préliminaires des systèmes ArcGIS Online et continue d'évaluer le CVE ainsi que tous les correctifs tiers pertinents à mesure qu'ils deviennent disponibles. Esri appliquera les correctifs appropriés conformément aux processus de gestion des changements applicables sur la plateforme Saas Esri.

arcOpole Builder

Pour arcOpole Builder, Esri France a validé une procédure dont la finalité est la même que celles recommandées par Esri sur ArcGIS. Les clients concernés ont reçu la procédure adaptée et peuvent consulter la page suivante de l'aide en ligne d'arcOpole Builder.

GeoCloud

Les équipes d'exploitation de la plateforme GeoCloud ont appliqué les dernières procédures recommandées par Esri sur les serveurs ArcGIS Enterprise infogérés par Esri France.

Dans tous les cas, si vous avez des questions ou des préoccupations, vous pouvez contacter le support technique d'Esri France par email support@esrifrance.fr ou par téléphone au 01 46 23 60 50.

Publication initiale: 13/12/2021

Dernière mise à jour: 29/12/2021 (18:23)

Passage d'ArcGIS Online en "HTTPS Only", Security Advisor propose désormais un éditeur d'URL

La nuit prochaine aura lieu la 4ème et dernière mise à jour d'ArcGIS Online de l'année 2020. Comme évoqué à plusieurs reprises (en février et puis en juin) sur ce blog, une des évolutions importantes concerne le passage exclusif de la plateforme Cloud ArcGIS Online en mode "HTTPS Only". Pour les organisations qui n'ont pas encore activé ce mode (c'est le mode par défaut pour tous les abonnements souscrits à partir de mi-septembre 2018), cela veut dire que certains contenus (application web, services web, documents, images, tuiles de cache, ...) peuvent encore être référencés avec des URL en HTTP et non en HTTPS. A partir de demain, ces contenus ne seront plus accessible depuis le portail ou les apps du portails ArcGIS Online. Il faut donc identifier ces ressources et mettre à jour leur URL en utilisant par exemple l'outil "Security Advisor" présenté dans mes précédents articles sur ce sujet.

La version de novembre 2020 de "Security Advisor" s'est concentré sur la fourniture d'un éditeur dans l'outil "HTTP Check" qui vous permet plus facilement de mettre à jour les références HTTP qui sont définies dans les descriptions JSON des éléments de votre portail.

Pour mémoire, le moyen le plus direct d'accéder et d'utiliser Security Advisor est à partir du Trust Center ArcGIS.

Les évolutions récentes du vérification HTTP sont les suivantes:

Moteur d'analyse rétabli à la version précédente en raison de problèmes liés à l'exécution des analyses par les clients.
Ajout d'un éditeur pour modifier et enregistrer directement les données de l'article. Ceci est expérimental - Utilisez à vos propres risques. Assurez-vous de sauvegarder vos données en premier!
Mise à jour de l'analyseur "http://" pour analyser de plus gros morceaux de données texte. Auparavant, l'analyseur s'arrêtait à la première occurrence de "http://".
Suppression des attributs d'élément dans les résultats pour plus de lisibilité.
Problème connu: le navigateur peut quitter ou quitter le conseiller lors de l'utilisation de l'éditeur avec un nombre élevé d'articles retournés.

En incluant cet éditeur, les utilisateurs peuvent modifier directement les données d'un élément pour changer les références HTTP. Avant d'utiliser l'éditeur, assurez-vous que vos données sont sauvegardées (voir comment dans ArcGIS Enterprise , dans ArcGIS Online).

Remarque 1:

Ce module sera supprimé de "Security Advisor" avec la mise à jour d'ArcGIS Online de mars 2021.

Remarque 2:

L'outil "Security Advisor" vous permettra également d'identifier et donc d'être alerté sur les couches d'entités partagée publiquement et sur lesquelles la mise à jour est activée. Dans certains cas cela peut être volontaire, dans d'autre cas ce n'est peut être pas souhaitable. en effet, cela veut dire que des utilisateurs anonymes peuvent modifier les données de votre couche d'entités. De nombreuses options permettent de gérer finement les privilèges de mise à jour sur les couches d'entités même lorsqu'elles sont publiques (en utilisant notamment des vues de couches d'entités).

Des questions ?

Si vous avez des questions, visitez le ArcGIS Trust Center où Esri propose beaucoup d'informations sur la sécurité et la confidentialité. Si vous ne parvenez pas à trouver ce que vous recherchez, veuillez contacter l'équipe de sécurité et de confidentialité des logiciels Esri à: softwaresecurity@esri.com

Se préparer au basculement "HTTPS Exclusif" d'ArcGIS Online

Comme je l'ai évoqué à plusieurs reprises sur arcOrama (notamment dans cet article), une évolution importante d’ArcGIS Online se produira en fin d'année avec le passage à une utilisation exclusive d’HTTPS dans tous les accès aux contenus internes et externes au système ArcGIS.

La motivation d'Esri à opérer ce basculement répond aux exigences et aux bonnes pratiques générales de sécurité des plateformes Saas et ainsi offrir une sécurité renforcée pour le système ArcGIS, en se conformant aux dernières normes de l'industrie et aux implémentations recommandées des protocoles de sécurité. Pour répondre à ces exigences, nous mettons à jour ArcGIS Online pour imposer l'utilisation exclusive du protocole HTTPS à partir du 8 décembre 2020.

Cette importante mise à jour de sécurité est susceptible d'affecter certaines applications ArcGIS et solutions personnalisées.

Suis-je concerné ?

Il est important de bien comprendre que les utilisateurs de la plupart des applications ArcGIS ou des solutions personnalisées basées sur les technologies Esri peuvent être affectés par cette mise en œuvre prévue d’HTTPS uniquement.

Si le portail de votre organisation est toujours configuré pour autoriser l'utilisation du protocole HTTP et HTTPS, alors cette mise à jour vous affectera. Si vous ne mettez pas à jour les paramètres de votre organisation vers HTTPS avant le 8 décembre 2020, vous ne pourrez pas accéder à vos ressources HTTP.

Si vous avez initié votre abonnement ArcGIS Online avant mi-septembre 2018 et que votre organisation est toujours configurée pour autoriser l'utilisation de HTTP et HTTPS, vous devrez également prendre des mesures pour vous assurer que certaines ressources ne sont pas encore référencées en HTTP sur votre portail. Il vous faudra, le cas échéant, les corriger pour pouvoir continuer à à accéder après le 8 décembre.

Que dois-je faire ?

Pour garantir un accès ininterrompu aux ressources, vous devez tout d'abord vérifier les paramètres de votre organisation pour vous assurer que l'option "HTTPS uniquement" est activée. Cela peut être fait à votre convenance avant le 8 décembre 2020. Il est évidement recommandé de le faire le plus tôt possible pour vous donner le temps de contrôler et corriger les ressources de votre portail qui auraient été référencées en HTTP.

Ensuite, il existe différents outils intégrés à votre portail ArcGIS Online ou des scripts de vérification automatique pour vous permettre d'identifier et de corriger les URL des ressources qui restent potentiellement en HTTP. Vous trouverez toutes les informations dans le document FAQ que vient de publier Esri France. Il est consultable depuis cette page.

Correctif de sécurité pour le portail ArcGIS Enterprise

Dans le cadre de sa veille constante autour de la sécurité de ses solutions, Esri a découvert une vulnérabilité potentiellement critique dans le composant "Portail" d'ArcGIS Enterprise, entraînant un problème de falsification des requêtes côté serveur (SSRF) lorsque des actions spécifiques sont réalisées par une personne disposant d'un accès réseau au déploiement d’ArcGIS Enterprise. Cela peut entraîner l'accès et le contrôle d'autres ressources de l'infrastructure par des personnes non autorisées.

Toutes les versions antérieures à ArcGIS Enterprise 10.8 sur Windows et Linux sont affectées par ce problème de sécurité. En réponse, Esri a publié le correctif Portal for ArcGIS Security 2020 Update 1 pour toutes les versions actuellement supportées d'ArcGIS Enterprise, de la version 10.5 à la version 10.7.1. ArcGIS Enterprise 10.8 n'est pas concerné par ce problème. ArcGIS 10.3.x et 10.4.x sont à l'état de support mature. Esri ne crée pas de correctifs pour les produits dans les phases de support matures ou retirées; vous trouverez plus d'informations à ce sujet dans la politique de cycle de vie des produits Esri.

Il existe un vecteur d'exploitation connu et spécifique aux déploiements exécutés sur l'infrastructure Amazon Web Services (AWS), cependant les clients exécutant ArcGIS Enterprise dans d'autres environnements Cloud peuvent également être affectés en fonction des spécificités du fournisseur de Cloud. Quel que soit le lieu d'exécution d'ArcGIS Enterprise, Esri recommande toujours d'installer les derniers correctifs sur tous les composant ArcGIS Enterprise concernés.

Esri recommande fortement à tous les administrateurs ArcGIS Enterprise d'installer ce correctif en utilisant l'outil "Notification de correctif" installé par défaut sur toutes les machines ArcGIS Enterprise. Vous pouvez également télécharger ou le correctif approprié pour votre site ArcGIS Enterprise à partir de cette page.

Pour suivre les sujets liés à la sécusrité des composants du système ArcGIS, assurez-vous de vous abonner au flux RSS du site ArcGIS Trust Center pour recevoir des notifications concernant les tendances et les problèmes liés à la sécurité qui peuvent potentiellement affecter le système ArcGIS.

Je vous remets ci-dessous les liens à retenir pour les aspects de sécurité spécifiques à ArcGIS Enterprise:

Portal for ArcGIS Security 2020 - Update 1
Rechercher et installer les correctifs logiciels et les mises à jour
Comment: planifier des mises à jour automatiques pour ArcGIS Enterprise
Toutes les questions de sécurité, de confidentialité, de certification du système ArcGIS sont regroupées sur le site ArcGIS Trust Center
Déclaration et engagement d'Esri relatif aux mise à jour de sécurité

Considérations de sécurité pour les formulaires Survey123 for ArcGIS partagés en public

Lorqu'une enquête est partagée publiquement, vous pouvez choisir (ou non) de partager les données saisies par les utilisateurs à travers votre formulaire. C'est un paramétrage qui est fait par le propriétaire de l'enquête dans Survey123. Récemment, Esri a détecté qu’un nombre important de résultats d’enquêtes Survey123 étaient accessibles publiquement ce qui semble assez étonnant et pourrait correspondre, dans un certain nombre de cas, à un mauvais paramétrage de la part du concepteur de l'enquête. En cette période de crise du Covid-19, le nombre d'enquêtes réalisées par les utilisateurs ArcGIS explose et il convient de vérifier que vos pratiques sont bien en accord avec la sécurité que vous souhaitez avoir vis à vis des données ainsi collectées.

Dans un guide intitulé Discovering and Limiting Access to Public Survey123 Results, Esri présente les bonnes pratiques lors de l’utilisation de Survey123 for ArcGIS pour s’assurer que les utilisateurs n’exposent pas, par inadvertance, les résultats d’une enquête publique.

Pour rappel, les enquêtes Survey123 partagées publiquement sont mises à disposition de toute personne, même sans compte ArcGIS. Elles peuvent être remplies à l’aide de l’application web ou de l’application mobile Survey123. Survey123 for ArcGIS offre également la possibilité de partager les résultats d’une enquête publiquement (mais ce n'est pas du tout obligatoire). Dans ce cas, ils ne sont pas sécurisés et les résultats de votre enquête publique peuvent être visualisés et modifiés par tout le monde. Dans certains cas cela peut poser problème notamment si elles contiennent des informations privées ou sensibles. Dans ce cas, il est nécessaire de sécuriser ou limiter l’accès aux résultats de cette enquête. L'usage des vues est généralement une bonne solution pour cela.

Il est important de rappeler que certaines enquêtes partagent intentionnellement leurs résultats de manière publique. Mais par précaution, Esri invite les utilisateurs Survey123 for ArcGIS à évaluer la situation pour s’assurer que les paramètres d’accès aux résultats correspondent à leurs attentes. Pour ce faire, un nouvel outil est mis à votre disposition : Public Survey123 Check. Il aide les administrateurs d’un portail ArcGIS à identifier toutes les enquêtes Survey123 partagées publiquement et examiner le niveau de sécurisation de leurs données.

Si vous avez des questions supplémentaires sur la mise en œuvre de ces bonnes pratiques, vous pouvez contacter le support technique Esri France.

Correctif de sécurité pour ArcGIS Server

Dans le cadre de sa veille constante autour de la sécurité de ses solutions, Esri a découvert une vulnérabilité potentiellement critique dans le composant "ArcGIS Server" d'ArcGIS Enterprise, entraînant un problème de falsification des requêtes côté serveur (SSRF) lorsque des actions spécifiques sont réalisées par une personne disposant d'un accès réseau au déploiement d’ArcGIS Enterprise. Cela peut entraîner l'accès et le contrôle d'autres ressources de l'infrastructure par des personnes non autorisées.

La faille détectée peut affecter tout déploiement selon l'infrastructure et la configuration mise en place. Par conséquent, tous les clients sont invités à installer le correctif approprié dès que possible. Il existe notamment des vecteurs d'exploitation connus dans Amazon Web Services (AWS), ce qui rend ce problème particulièrement urgent pour ce type de déploiement.

Ce correctif de sécurité concerne toutes les versions supportées avant ArcGIS Server 10.8 sur Windows et Linux. En tant que client ArcGIS Enterprise, au delà de cet article, vous serez informé très rapidement par mail de cette vulnérabilité de sécurité en plus des notifications en ligne régulières que vous trouvez sur les blogs Esri et sur le site de sécurité trust.arcgis.com.

Qu’avez-vous besoin de faire ?

Des correctifs pour toutes les versions d'ArcGIS Server de la version 10.4 à la version 10.7.1 ont été publiés. Ce correctif corrige également d’autres erreurs dans ces versions. Esri recommande fortement d'installer le correctif correspondant dès que possible. ArcGIS Server 10.8 contient déjà ces correctifs et n'est pas affecté. Les clients exécutant ArcGIS Server 10.3.1 ou une version antérieure doivent effectuer une mise à niveau dès que possible. Ces versions étant en support mature, elles ne reçoivent plus de mises à jour de sécurité et sont à risque par rapport à cette vulnérabilité ainsi que d'autres problèmes.

Pour mémoire, tous les correctifs peuvent être téléchargés à partir du site Web du support Esri où plus d'informations sont également disponibles.

Le correctif ArcGIS Server Security 2020 Update 1 est disponible pour les versions 10.4, 10.4.1, 10.5, 10.5.1, 10.6, 10.6.1, 10.7 et 10.7.1.

Vous pouvez également utiliser l'outil de notification de patch pour télécharger et installer le patch approprié. Vous consulterez la documentation du logiciel pour savoir comment utiliser cet outil. Assurez-vous que le correctif est installé sur toutes les machines ArcGIS Server.

Plus d'informations

Pour plus de détails, vous pouvez vous référer à cet l’article sur le site du support.

Esri vous encourage également à vous abonner au flux RSS sur trust.arcgis.com pour les futures mises à jour sur ce problème et d'autres problèmes liés à la sécurité.

Se préparer à l'évolution majeure de sécurité sur ArcGIS Online

Toutes les organisations ArcGIS Online instanciées depuis septembre 2018, par défaut, n'autorisent que la communication HTTPS (chiffrée) pour la diffusion et l'accès aux contenus de leur portail. Cependant, certaines organisations n'ont pas encore opté pour cette stratégie de n'utiliser que des accès HTTPS pour leurs services web. Si votre organisation ArcGIS Online utilise déjà HTTPS et si aucun système externe n'accède à vos services en HTTP, cet article ne vous concerne pas. Dans le cas contraire je vous recommande de lire les informations ci-dessous.

Les organisations qui n'appliquent pas encore le protocole "HTTPS only" sur leur portail doivent commencer dès maintenant à s'y préparer car à partir du 8 décembre 2020 (~~15 septembre 2020~~), ArcGIS Online appliquera l'exclusivité du protocole HTTPS pour toutes les organisations. Cette évolution vise à améliorer la sécurité des données échangées depuis le système ArcGIS Online et répondre ainsi aux exigences de sécurité imposées par les DSI et appliquées progressivement sur toutes les plateformes Cloud en France et dans le Monde avec l'implémentation du standard HTTP Strict Transport Security (HSTS).

La transition vers le mode "HTTPS only" peut s'avérer une tâche importante pour les utilisateurs partageant encore des services en HTTP et pour ceux ayant construit des cartes/scènes web et des applications avec des références à leurs services en HTTP que ce soit sur ArcGIS Online mais aussi dans des applications externes. Pour faciliter cet effort, Esri a mis en ligne une version mise à jour d'ArcGIS Online Security Advisor qui inclut un outil de vérification des références HTTP dans les éléments de contenus d'un portail ArcGIS Online. Pour utiliser cet outil, il suffit que l'administrateur de votre organisation ArcGIS Online se rende le site ArCGIS Trust Center et qu'il clique sur le bouton "Launch Security Advisor" (situé dans le coin supérieur droit de la page).

Il pourra tout d'abord vérifier que l'organisation applique actuellement le protocole HTTPS. Ensuite, il pourra utiliser le nouvel outil "HTTP checker" pour effectuer la recherche des références HTTP au sein des contenus de l'organisation afin que vous puissiez ensuite les corriger rapidement.

Un script exploitant l'API Python ArcGIS peut également être utilisé à la fois sur ArcGIS Online et ArcGIS Enterprise pour retrouver les éléments de contenus utilisant des références HTTP qui doivent être corrigées en HTTPS.

Livre blanc sur l'implémentation sécurisée des solutions mobiles ArcGIS

Les correctifs de sécurité "2019 Update 1" sont disponibles pour ArcGIS Enterprise

Passage d'ArcGIS Online à TLS 1.2, les impacts sur vos applications ArcGIS

En novembre dernier, je publiais l'article ci-dessous à propos d'une évolution importante d'ArcGIS Online autour du protocole TLS. Cette évolution importante est toujours d'actualité, elle a cependant été reportée au 16 avril 2019 (et non plus à la mise à jour d'ArcGIS Online de décembre 2018 comme prévue initialement) pour laisser le temps de réaliser les actions nécessaires. Vous trouverez toutes les informations sur cette page de documentation du site du support Esri pour vous aidez à identifier votre cas de figure et vous préparer à cette évolution.

___________

SSL et TLS sont deux protocoles de cryptographie qui permettant l’authentification et le chiffrement des données qui transitent entre des serveurs, des machines et des applications en réseau (notamment lorsqu’un client se connecte en "https" à un serveur Web). Le SSL est le prédécesseur du TLS. Au fil du temps, de nouvelles versions de ces protocoles ont vu le jour pour faire face aux vulnérabilités et prendre en charge des suites et des algorithmes de chiffrement toujours plus forts, toujours plus sécurisés. Depuis la découverte de la vulnérabilité POODLE en 2014, la version 3 de SSL en tant que protocole de sécurité a été remise en cause. Depuis 2014, Esri a adopté TLS 1.0 comme protocole par défaut et permet l'usage de TLS 1.1 et 1.2. Aujourd'hui, en 2018, les organismes de réglementation et de validation de conformité tels que la NIST, PCI ou FedRAMP ont déprécié le standard TLS 1.0 et, après un usage peu répandu du TLS 1.1, c'est désormais le protocole TLS 1.2 qui est la recommandation en vigueur. Une version 1.3 des spécifications de TLS a été validé en août 2018 mais son implémentation par les principales plateformes de Cloud (et par ArcGIS Online) est encore prématurée.

Pour assurer une sécurité maximum de sa plateforme Cloud, Esri a décidé tout d'abord en septembre 2018 d'obliger l'ensemble des connexions à ArcGIS Online à se faire en HTTPS. Dans un deuxième temps, Esri mettra prochainement à jour le système ArcGIS Online pour n'autoriser que le protocole TLS 1.2.

Je résume ci-dessous les enjeux liés à cette évolution. En complément, un document détaillé rédigé par Esri (en anglais) est téléchargeable ici.

Quels sont les impacts de cette dépréciations de TLS 1.0 et 1.1 ?

A la suite de la mise à jour du 16 avril 2019 d'ArcGIS Online, les connexions entrantes ou sortantes aux ressources hébergées sur ArcGIS Online se faisant en TLS 1.0 ou 1.1, elles ne fonctionneront plus. Des actions sont nécessaires de la part de votre organisation pour mettre à jour certaines applications clientes. Ces actions varient selon les applications et les versions:

ArcMap, ArcGlobe, ArcScene, ArcCatalog - 10.6 et inférieure (patch et clé de registre)
ArcScene, ArcCatalog - 10.6.1 et inférieure (clé de registre)
Portal for ArcGIS - 10.3.1 et inférieure (mise à jour vers des version plus récentes)
Operations Dashboard Windows App (clé de registre)

Si vous utilisez des versions de navigateur assez anciennes, les connexions à ArcGIS Online ne seront plus possibles:

Firefox version 5.0 et inférieure
Internet Explorer 8-10 sur Windows 7 ou inférieure
Internet Explorer 10 sur Win Phone 8.0
Safari 6.0.4/OS X10.8.4 et inférieure

Si vous utilisez ces anciennes générations d'appareils mobiles, les connexions à ArcGIS Online ne seront plus possibles sans action de mise à jour:

Android 4.3 et inférieure
ArcPad sur Mobile/CE 6.5 et inférieure (voir le patch CE v.7 pour TLS 1.2 )

Si vous utiliser ces anciens SDK, frameworks ou OS, les connexions à ArcGIS Online ne seront plus possibles sans action de mise à jour:

Oracle Java 1.6 et versions inférieures
.NET 3.5 et versions inférieures
Python 2.7.8 et versions inférieures
OpenSSL 1.0.0 et versions inférieures
Windows 2008 / Vista et versions inférieures

Pour les actions à mettre en place sur toutes les plateformes et applications évoquées ci-dessus il s'agira dans la plupart des cas d'installation de patchs système ou d'exécution de script modifiant la base de registre. Ce document PDF d'Esri traite chaque cas en détail.

Vulnérabilité critique dans Portal for ArcGIS

Passage d'ArcGIS Online à TLS 1.2, les impacts sur vos applications ArcGIS

Il y a quelques jours, j'évoquais l'article ci-dessous à propos d'une évolution importante d'ArcGIS Online autour du protocole TLS. Bien que cette évolution est toujours d'actualité, elle a été reportée à la mise à jour de février 2019 et non plus celle de décembre 2018 comme prévue initialement afin de vous permettre de réaliser les actions nécessaires. Vous noterez également cette page de documentation sur le site du support Esri pour vous aidez à vous préparer à cette évolution.

___________

Pour assurer une sécurité maximum de sa plateforme Cloud, Esri a décidé tout d'abord en septembre 2018 d'obliger l'ensemble des connexions à ArcGIS Online à se faire en HTTPS. Dans un deuxième temps, Esri mettra prochainement à jour la plateforme ArcGIS Online pour n'autoriser que le protocole TLS 1.2. Cette évolution se fera dans la ~~prochaine~~ mise à jour d'ArcGIS Online (prévue en février 2019).

Je résume ci-dessous les enjeux liés à cette évolution. En complément, un document détaillé rédigé par Esri (en anglais) est téléchargeable ici.

Quels sont les impacts de cette dépréciations de TLS 1.0 et 1.1 ?

ArcMap, ArcGlobe, ArcScene, ArcCatalog - 10.6 et inférieure (patch et clé de registre)
ArcScene, ArcCatalog - 10.6.1 et inférieure (clé de registre)
Portal for ArcGIS - 10.3.1 et inférieure (mise à jour vers des version plus récentes)
Operations Dashboard Windows App (clé de registre)

Si vous utilisez des versions anciennes de de navigateur anciennes, les connexions à ArcGIS Online ne seront plus possibles:

Firefox version 5.0 et inférieure
Internet Explorer 8-10 sur Windows 7 ou inférieure
Internet Explorer 10 sur Win Phone 8.0
Safari 6.0.4/OS X10.8.4 et inférieure

Si vous utilisez ces anciennes générations d'appareils mobiles, les connexions à ArcGIS Online ne seront plus possibles sans action de mise à jour:

Android 4.3 et inférieure
ArcPad sur Mobile/CE 6.5 et inférieure (voir le patch CE v.7 pour TLS 1.2 )

Si vous utiliser ces anciens SDK, frameworks ou OS, les connexions à ArcGIS Online ne seront plus possibles sans action de mise à jour:

Oracle Java 1.6 et versions inférieures
.NET 3.5 et versions inférieures
Python 2.7.8 et versions inférieures
OpenSSL 1.0.0 et versions inférieures
Windows 2008 / Vista et versions inférieures

Inscription à : Articles ( Atom )

Action requise pour les organisations ArcGIS Online utilisant SAML

Mise à jour du correctif de sécurité Portal for ArcGIS Enterprise Sites 2023

Disponibilité d'ArcGIS Pro 3.0.3 (Patch 3)

Vulnérabilité OpenSSL v3

Dysfonctionnement d'ArcGIS Pro 2.8 et 2.9 sur la modification de symbologie suite à des mises à jour du framework .Net

Action requise pour les organisations ArcGIS Online utilisant SAML

Correctifs de sécurité pour le portail ArcGIS Enterprise

Les correctifs Log4j pour ArcGIS Enterprise sont désormais disponibles en tant que patches

ArcGIS et vulnérabilités de Log4j

Passage d'ArcGIS Online en "HTTPS Only", Security Advisor propose désormais un éditeur d'URL

Se préparer au basculement "HTTPS Exclusif" d'ArcGIS Online

Correctif de sécurité pour le portail ArcGIS Enterprise

Considérations de sécurité pour les formulaires Survey123 for ArcGIS partagés en public

Correctif de sécurité pour ArcGIS Server

Se préparer à l'évolution majeure de sécurité sur ArcGIS Online

Livre blanc sur l'implémentation sécurisée des solutions mobiles ArcGIS

Les correctifs de sécurité "2019 Update 1" sont disponibles pour ArcGIS Enterprise

Passage d'ArcGIS Online à TLS 1.2, les impacts sur vos applications ArcGIS

Vulnérabilité critique dans Portal for ArcGIS

Passage d'ArcGIS Online à TLS 1.2, les impacts sur vos applications ArcGIS

Archives du blog

Articles les plus consultés

HTML_arcorama_2

Visiteurs actuellement connectés

Suivre arcOrama - RSS et email

Suivre arcOrama par email :

Qui êtes-vous ?