BE-2021-0009: Out-of-bounds vulnerabilities in MicroStation and MicroStation-based applications
Identyfikator Bentley:BE-2021-0009
Identyfikator CVE: CVE-2021-34897, CVE-2021-34904, CVE-2021-34905, CVE-2021-34910, CVE-2021-34914, CVE-2021-46589, CVE-2021-46635, CVE-2021-46636, CVE-2021-46637, CVE-2021-46638, CVE-2021-46639, CVE-2021-46640, CVE-2021-46641, CVE-2021-46642, CVE-2021-46643, CVE-2021-46644, CVE-2021-46646, CVE-2021-46648, CVE-2021-46649, CVE-2021-46650, CVE-2021-46651, CVE-2021-46652, CVE-2021-46654
Poziom ważności: 7.8
CVSS v3.1: AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Data publikacji: 07-12-2021
Data zmiany: 07-12-2021
Podsumowanie
MicroStation i aplikacje oparte na MicroStation mogą być dotknięte luką w zabezpieczeniach dotyczącą operacji poza zakresem podczas otwierania złośliwie spreparowanych plików DGN. Wykorzystanie tych luk może doprowadzić do wykonania kodu.
Szczegóły
Następujące luki związane z tym poradnikiem zostały wykryte przez TrendMicro ZDI: ZDI-CAN-14864, ZDI-CAN-14877, ZDI-CAN-14878, ZDI-CAN-14883, ZDI-CAN-14892, ZDI-CAN-15383, ZDI-CAN-15507, ZDI-CAN-15508, ZDI-CAN-15509, ZDI-CAN-15510, ZDI-CAN-15511, ZDI-CAN-15512, ZDI-CAN-15513, ZDI-CAN-15514, ZDI-CAN-15515, ZDI-CAN-15530, ZDI-CAN-15532, ZDI-CAN-15534, ZDI-CAN-15535, ZDI-CAN-15536, ZDI-CAN-15537, ZDI-CAN-15538, ZDI-CAN-15540. Użycie zainfekowanej wersji programu MicroStation lub aplikacji opartej na MicroStation do otwarcia pliku DGN zawierającego złośliwie spreparowane dane może wymusić odczyt lub zapis poza zakresem. Wykorzystanie tych luk podczas analizowania plików DGN może umożliwić atakującemu wykonanie dowolnego kodu w kontekście bieżącego procesu.
Wersje, których dotyczy problem
| Aplikacje | Wersje, których dotyczy problem | Wersje zabezpieczone |
| MicroStation | Wersje wcześniejsze niż 10.16.02.* | 10.16.02.* i nowsze |
| Bentley View | Wersje wcześniejsze niż 10.16.02.* | 10.16.02.* i nowsze |
Zalecane środki zaradcze
Firma Bentley zaleca aktualizację do najnowszych wersji systemu MicroStation i aplikacji opartych na MicroStation. Jako ogólną najlepszą praktykę zaleca się również otwieranie plików DGN pochodzących wyłącznie z zaufanych źródeł.
Podziękowania
Podziękowania dla Mata Powella z Trend Micro Zero Day Initiative za wykrycie tych luk.
Historia zmian
| Data | Opis |
| 07-12-2021 | Pierwsza wersja poradnika |
| 04-02-2022 | Dodanie nowych numerów CVE dostarczonych przez ZDI |
