← volver
CVE-2021-29098

ArcGIS general raster security update: uninitialized pointer

CVSS 7.8 HIGHEPSS 2.0%CWE-824
En resumen

Los productos ArcGIS contienen fallos de punteros no inicializados que se pueden activar al abrir un archivo malicioso, permitiendo que atacantes ejecuten código arbitrario en la computadora de la víctima sin autenticación.

Detalle técnico

Existen múltiples vulnerabilidades de puntero no inicializado en el análisis de archivos raster en ArcReader, ArcGIS Desktop, ArcGIS Engine 10.8.1 y versiones anteriores, y ArcGIS Pro 2.7 y versiones anteriores. Un atacante no autenticado puede crear un archivo raster especialmente diseñado para explotar estos fallos de corrupción de memoria, logrando ejecución arbitraria de código con los privilegios del usuario actual. No se requiere autenticación ni privilegios especiales; la explotación solo requiere convencer al usuario para que abra el archivo malicioso.

Resumen generado y traducido por IA a partir de la descripción oficial.
Multiple uninitialized pointer vulnerabilities when parsing a specially crafted file in Esri ArcReader, ArcGIS Desktop, ArcGIS Engine 10.8.1 (and earlier) and ArcGIS Pro 2.7 (and earlier) allow an unauthenticated attacker to achieve arbitrary code execution in the context of the current user.
CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Productos afectados
Esri · ArcGIS DesktopEsri · ArcGIS Desktop Background GeoprocessingEsri · ArcGIS EngineEsri · ArcGIS ProEsri · ArcReader

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →
Referencias
https://www.esri.com/arcgis-blog/products/arcgis/administration/security-advisory-general-raster/https://www.zerodayinitiative.com/advisories/ZDI-21-361/https://www.zerodayinitiative.com/advisories/ZDI-21-362/https://www.zerodayinitiative.com/advisories/ZDI-21-372/