CVE-2021-29097highCWE-121CWE-122

CVE-2021-29097: falha de alta gravidade em Esri ArcReader

ArcGIS general raster security update: buffer overflow

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar ArcReader+ Monitorar ArcGIS Pro

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.8epss 3.0%
Em resumo

ArcGIS e ArcReader possuem falhas de estouro de buffer ao processar arquivos raster malformados. Um atacante pode enviar um arquivo malicioso para executar código arbitrário no computador da vítima.

Detalhe técnico

Múltiplos estouros de buffer em pilha e heap existem no parsing de arquivos raster em ArcGIS Desktop, ArcGIS Engine 10.8.1 e anteriores, ArcGIS Pro 2.7 e anteriores e ArcReader. Um atacante não autenticado pode explorar fornecendo um arquivo especialmente elaborado, resultando em execução de código arbitrário com privilégios do usuário; não há restrições de autenticação ou interação do usuário além da abertura do arquivo.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Multiple buffer overflow vulnerabilities when parsing a specially crafted file in Esri ArcReader, ArcGIS Desktop, ArcGIS Engine 10.8.1 (and earlier) and ArcGIS Pro 2.7 (and earlier) allow an unauthenticated attacker to achieve arbitrary code execution in the context of the current user.
CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Produtos afetados
Esri · ArcGIS DesktopEsri · ArcGIS Desktop Background GeoprocessingEsri · ArcGIS EngineEsri · ArcGIS ProEsri · ArcReader
CVEs relacionadas — Esri ArcReader

No mesmo produto, das mais perigosas para as menos.

CVE-2021-29098HIGHArcGIS general raster security update: uninitialized pointerEPSS 2.0%CVE-2021-29096HIGHArcGIS general raster security update: use-after-freeEPSS 1.6%