PT-2021-6582 · Ribbonsoft+2 · Dxflib+2

Lilith >_> · Publicado 2021-09-08 · Atualizado 2024-06-15 · CVE-2021-21897

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.3

Alta

Vetor base

AV:N/AC:M/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Ribbonsoft dxflib versão 3.17.0

Descrição

Existe uma vulnerabilidade de execução de código na funcionalidade DL Dxf::handleLWPolylineData, relacionada a um estouro de buffer de heap. Isso pode ser desencadeado por um arquivo .dxf especialmente criado, permitindo que um invasor possa acessar dados confidenciais, comprometer sua integridade e causar uma negação de serviço.

Recomendações

Para a versão 3.17.0, considere desativar a funcionalidade DL Dxf::handleLWPolylineData até que um patch esteja disponível para impedir a exploração por meio de arquivos .dxf maliciosos. Restrinja o acesso ao manuseio de arquivos .dxf para minimizar o risco de acionar o estouro de buffer da pilha. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Integer Underflow

Memory Corruption

Enumeração de Fraquezas

CWE-191

CWE-787

Identificadores relacionados

BDU:2022-01848

CVE-2021-21897

DLA-3046-1

OPENSUSE-SU-2022_0134-1

OPENSUSE-SU-2024:10730-1

Produtos afetados

Debian

Suse

Dxflib

Referências · 22

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2021-1346 · Exploit
• https://github.com/qcad/qcad/commit/1eeffc5daf5a06cf6213ffc19e95923cdebb2eb8 · Nota
• https://t.me/cvenotify/35981 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-21897 · Nota de Segurança
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/L2H36XRMAPQBIOVIIFX6KUT5YOG2ETM6 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/DA4C4X5GMM65VYLUW7Q7YL6P5NDB633A · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/IMGMEPTYL7WTQ333J6SMC6MUHDMMWT3O · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-21897 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/5BUOTYU3KKIYE4BEBUFA4MRS462P3OWM · Aviso do Fabricante
• https://lists.debian.org/debian-lts-announce/2022/06/msg00008.html · Nota
• https://bdu.fstec.ru/vul/2022-01848 · Nota de Segurança
• https://suse.com/security/cve/CVE-2021-21897 · Nota
• https://osv.dev/vulnerability/DLA-3046-1 · Aviso do Fabricante
• https://t.me/cvenotify/35931 · Publicação no Telegram
• https://osv.dev/vulnerability/openSUSE-SU-2024:10730-1 · Aviso do Fabricante