CVE-2021-29097highCWE-121CWE-122

CVE-2021-29097: fallo de gravedad alta en Esri ArcReader

ArcGIS general raster security update: buffer overflow

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear ArcReader+ Monitorear ArcGIS Pro

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.8epss 3.0%
En resumen

ArcGIS y ArcReader contienen vulnerabilidades de desbordamiento de búfer al procesar archivos raster especialmente diseñados. Un atacante puede enviar un archivo malicioso para ejecutar código arbitrario en la computadora de la víctima.

Detalle técnico

Existen múltiples desbordeamientos de búfer en pila y montón en el análisis de archivos raster en ArcGIS Desktop, ArcGIS Engine 10.8.1 e anteriores, ArcGIS Pro 2.7 e anteriores y ArcReader. Un atacante no autenticado puede explotar esto proporcionando un archivo especialmente elaborado, lo que resulta en ejecución de código arbitrario con privilegios del usuario; no hay restricciones de autenticación o interacción más allá de la apertura del archivo.

Resumen generado y traducido por IA a partir de la descripción oficial.
Multiple buffer overflow vulnerabilities when parsing a specially crafted file in Esri ArcReader, ArcGIS Desktop, ArcGIS Engine 10.8.1 (and earlier) and ArcGIS Pro 2.7 (and earlier) allow an unauthenticated attacker to achieve arbitrary code execution in the context of the current user.
CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Productos afectados
Esri · ArcGIS DesktopEsri · ArcGIS Desktop Background GeoprocessingEsri · ArcGIS EngineEsri · ArcGIS ProEsri · ArcReader
CVEs relacionadas — Esri ArcReader

En el mismo producto, de las más peligrosas a las menos.

CVE-2021-29098HIGHArcGIS general raster security update: uninitialized pointerEPSS 2.0%CVE-2021-29096HIGHArcGIS general raster security update: use-after-freeEPSS 1.6%