PT-2021-4012 · Openexr+5 · Openexr+5

Pedro Sampaio · Publicado 2021-06-03 · Atualizado 2024-06-15 · CVE-2021-3605

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do OpenEXR anteriores à 3.0.5

Descrição

O problema está relacionado a uma falha na funcionalidade rleUncompress() do OpenEXR, que pode causar uma leitura fora dos limites quando um arquivo malicioso é enviado a um aplicativo vinculado ao OpenEXR. Isso pode levar a uma negação de serviço, afetando principalmente a disponibilidade do aplicativo.

Recomendações

Para versões anteriores à 3.0.5, atualize para a versão 3.0.5 ou posterior para resolver o problema.

Como solução temporária, considere restringir o envio de arquivos maliciosos para aplicativos vinculados ao OpenEXR até que um patch esteja disponível.

Correção

Buffer Overflow

Out of bounds Read

Enumeração de Fraquezas

CWE-119

CWE-125

Identificadores relacionados

ALT-PU-2021-3360

ALT-PU-2023-1408

AZL-44529

BDU:2021-04537

CVE-2021-3605

DLA-2732-1

DLA-3236-1

DSA-5299-1

MGASA-2021-0326

OESA-2021-1339

OPENSUSE-SU-2021:0925-1

OPENSUSE-SU-2021:2158-1

OPENSUSE-SU-2021_0925-1

OPENSUSE-SU-2021_2158-1

OPENSUSE-SU-2024:11117-1

ROSA-SA-2023-2248

SUSE-SU-2021:14757-1

SUSE-SU-2021:2158-1

SUSE-SU-2021:2159-1

SUSE-SU-2021_14757-1

USN-4996-1

USN-4996-2

USN-5620-1

Produtos afetados

Alt Linux

Astra Linux

Linuxmint

Openexr

Suse

Ubuntu

Referências · 72

• https://github.com/AcademySoftwareFoundation/openexr/commit/25259a84827234a283f6f9db72978198c7a3f268 · Nota
• https://github.com/AcademySoftwareFoundation/openexr/pull/1036 · Nota
• https://osv.dev/vulnerability/DLA-2732-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2021:2158-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-3605 · Aviso do Fabricante
• https://osv.dev/vulnerability/USN-5620-1 · Aviso do Fabricante
• https://t.me/cvenotify/20079 · Publicação no Telegram
• https://security-tracker.debian.org/tracker/CVE-2021-3605 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/thread/4KYNJSMVA6YJY5NMKDZ5SAISKZG2KCKC · Aviso do Fabricante
• https://lists.debian.org/debian-lts-announce/2022/12/msg00022.html · Nota
• https://security.gentoo.org/glsa/202210-31 · Aviso do Fabricante
• https://osv.dev/vulnerability/SUSE-SU-2021:2159-1 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-3605 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-3605 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-23215 · Aviso do Fabricante