CVE-2021-29095mediumCWE-824

CVE-2021-29095: falha de média gravidade em Esri ArcGIS Server

ArcGIS Server image service and raster analytics security update: uninitialized pointer

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar ArcGIS Server

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.4epss 0.9%
Em resumo

O ArcGIS Server possui uma falha em ponteiros não inicializados ao processar arquivos especialmente criados. Um atacante autenticado com permissões específicas pode explorar isso para executar código arbitrário com os privilégios do serviço.

Detalhe técnico

Vulnerabilidades de ponteiros não inicializados existem no ArcGIS Server 10.8.1 e anteriores nos componentes de serviço de imagem e análise de raster durante a análise de arquivos. Um atacante autenticado com permissões especializadas pode criar um arquivo malicioso para desencadear corrupção de memória, alcançando execução de código arbitrário no contexto da conta de serviço (CWE-824).

Resumo gerado e traduzido por IA a partir da descrição oficial.
Multiple uninitialized pointer vulnerabilities when parsing a specially crafted file in Esri ArcGIS Server 10.8.1 (and earlier) allows an authenticated attacker with specialized permissions to achieve arbitrary code execution in the context of the service account.
CVSS:3.0/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H
Produtos afetados
Esri · ArcGIS Server
CVEs relacionadas — Esri ArcGIS Server

No mesmo produto, das mais perigosas para as menos.

CVE-2021-29115MEDIUMAn information disclosure vulnerabilityEPSS 2.2%CVE-2021-29102CRITICALThere is a Server-Side Request Forgery (SSRF) vulnerability in Esri ArcGIS Server Manager version 10.8.1 and below.EPSS 1.6%CVE-2022-38202HIGHBUG-000152121 - Directory traversal vulnerability in ArcGIS Server.EPSS 1.4%CVE-2026-9181CRITICALDirectory Traversal in ArcGIS ServerEPSS 1.2%CVE-2022-38196MEDIUMBUG-000150537 - ArcGIS Server has a local file inclusion (LFI) vulnerabilityEPSS 1.2%CVE-2021-29114HIGHSQL injection vulnerability in ArcGIS ServerEPSS 1.0%