Debería interpretarlo como tal, una entrada no confiable puede escribir en la sección en la memoria que no debe escribir porque la aplicación no puede verificar su tamaño.
Creo que estás en la mentalidad de siempre categorizar RCE como extensión del desbordamiento de búfer cuando podrían tratarse de problemas completamente diferentes. Tomemos, por ejemplo, RCE debido a la inclusión de archivos remotos, o fallas en aplicaciones web que utilizan eval en lenguajes de scripting o toman información no confiable para ejecutar un comando del sistema operativo. Estos son RCE pero no necesariamente BOF.
Supongo que lo que digo es que un desbordamiento de búfer puede tratarse como su propia categoría que describe qué es una vulnerabilidad y cómo ocurre. Potencialmente podría extenderse a RCE o DoS, pero el desbordamiento es bastante perfecto para entenderlo.
Cuando ve una vulnerabilidad de desbordamiento, siempre puede verificar el código de vulnerabilidad público lanzado asociado y leer más sobre él para ver si hay DoS o RCE. La mayoría (si no todos) los BOF tienen un mínimo de DoS. Además, es posible leer que un desbordamiento lleva a RCE, pero no se puede encontrar ningún exploit público. Esto es común, especialmente en software que es propietario. Esto no significa que no esté confirmado, solo que el investigador (s) nunca se dio a conocer al público y puede ser parte de herramientas de seguridad de propiedad exclusiva.