PT-2021-5221 · Librecad+2 · Libdxfrw+2

Lilith >_> · CVE-2021-21899 · Publicado 2021-08-04 · Atualizado 2023-05-21

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.3

Alta

Vetor base

AV:N/AC:M/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

LibreCad libdxfrw versão 2.2.0-rc2-19-ge02f3580

Descrição

Existe uma vulnerabilidade de execução de código na funcionalidade dwgCompressor::copyCompBytes21 devido a um estouro de buffer de heap. Isso pode ser desencadeado por um arquivo .dwg especialmente criado, permitindo que um invasor execute código arbitrário.

Recomendações

Para o LibreCad libdxfrw versão 2.2.0-rc2-19-ge02f3580, como solução temporária, considere desativar a função dwgCompressor::copyCompBytes21 até que um patch esteja disponível. Evite usar arquivos .dwg maliciosos para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Buffer Overflow

Memory Corruption

Enumeração de Fraquezas

CWE-119

CWE-787

Identificadores relacionados

BDU:2021-06023

CVE-2021-21899

DLA-2838-1

DSA-5077-1

MGASA-2022-0151

OPENSUSE-SU-2022:0067-1

OPENSUSE-SU-2024:11697-1

USN-5957-1

Produtos afetados

Linuxmint

Ubuntu

Libdxfrw

Referências · 46

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2021-1350 · Exploit
• https://github.com/LibreCAD/libdxfrw/commit/6417118874333309aa10c4e59f954c3905a6e8b5 · Nota
• https://lists.opensuse.org/archives/list/[e-mail]/thread/6TWLTKRSHNPCLQL7UXQSITHNYJT5XSK5 · Nota
• https://ubuntu.com/security/CVE-2021-21899 · Aviso do Fabricante
• https://osv.dev/vulnerability/MGASA-2022-0151 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ZTIAMP7QJDKV4ADDLR4GVVX2TXYLHVOZ · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-45341 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/thread/RDI3HCTCACMIC7I4ILB3NRU6DCMADI5H · Aviso do Fabricante
• https://advisories.mageia.org/MGASA-2022-0151.html · Nota de Segurança
• https://bugzilla.suse.com/1192936 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-21899 · Nota de Segurança
• https://t.me/cvenotify/35535 · Publicação no Telegram
• https://bugs.mageia.org/show_bug.cgi?id=29720 · Nota
• https://ubuntu.com/security/notices/USN-5957-1 · Aviso do Fabricante
• https://security.ublinux.ru/CVE-2021-21899 · Nota