CVE-2021-21938

Przepełnienie bufora sterty w parserze Palette box w Accusoft ImageGear

CVSS 9.8v3.1pub. 2022-04-14upd. 2024-11-21

W bibliotece Accusoft ImageGear 19.10 wykryto krytyczną podatność typu heap-based buffer overflow w komponencie parsującym strukturę Palette box. Umożliwia ona zdalne wykonanie kodu (RCE) poprzez dostarczenie ofierze spreparowanego pliku.

▸ Pokaż oryginał (EN)

A heap-based buffer overflow vulnerability exists in the Palette box parser functionality of Accusoft ImageGear 19.10. A specially-crafted file can lead to code execution. An attacker can provide a malicious file to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność wynika z błędu (CWE-193) w logice parsowania bloku Palette box, gdzie nieprawidłowe przetwarzanie danych wejściowych prowadzi do przepełnienia bufora na stercie (heap). Atakujący tworzy złośliwy plik, którego otwarcie przez aplikację korzystającą z biblioteki ImageGear powoduje przekroczenie granic bufora i nadpisanie sąsiednich obszarów pamięci. W efekcie możliwe jest przejęcie kontroli nad przepływem wykonania programu.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie dowolnego kodu (RCE) w kontekście procesu ofiary, co może prowadzić do pełnego przejęcia systemu, ujawnienia danych lub ich modyfikacji.

Mitygacja

Należy zaktualizować bibliotekę Accusoft ImageGear do wersji 20.0 lub nowszej zgodnie z informacjami producenta dostępnymi w referencjach. Dodatkowo zaleca się ograniczenie możliwości otwierania plików pochodzących z niezaufanych źródeł przez aplikacje korzystające z tej biblioteki.

Kogo dotyczy

Accusoft ImageGear w wersji 19.10

Uwagi

Podatność została opisana w raporcie Cisco Talos Intelligence pod numerem TALOS-2021-1367. Producent udostępnił dokumentację poprawionej wersji 20.0 pod adresem wskazanym w referencjach.