Wszystkie poradniki / BE-2021-0012

BE-2021-0012

BE-2021-0012: Luki w zabezpieczeniach dotyczące odczytu poza zakresem i użycia po zwolnieniu w MicroStation i aplikacjach opartych na MicroStation

Identyfikator Bentley: BE-2021-0012
Identyfikator CVE: CVE-2021-34886, CVE-2021-46620, CVE-2021-46630
Poziom ważności: 3.3
CVSS v3.1: AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N
Data publikacji: 07-12-2021
Data zmiany: 07-12-2021

Podsumowanie
Na MicroStation i aplikacje oparte na MicroStation mogą mieć wpływ luki w zabezpieczeniach dotyczące odczytu poza zakresem lub użycia po zwolnieniu podczas otwierania złośliwie spreparowanych plików FBX. Wykorzystanie tych luk może doprowadzić do wykonania kodu.

Szczegóły
Grupa TrendMicro ZDI wykryła następujące luki w zabezpieczeniach związane z tym poradnikiem: ZDI-CAN-14839, ZDI-CAN-15414, ZDI-CAN-15460. Użycie zainfekowanej wersji MicroStation lub aplikacji opartej na MicroStation do otwarcia pliku FBX zawierającego złośliwie spreparowane dane może wymusić operację poza zakresem lub użycie po zwolnieniu. Wykorzystanie tych luk podczas analizowania plików FBX może umożliwić atakującemu wykonanie dowolnego kodu w kontekście bieżącego procesu.

Wersje, których dotyczy problem

Aplikacje Wersje, których dotyczy problem Wersje zabezpieczone
MicroStation Wersje wcześniejsze niż 10.16.02.* 10.16.02.* i nowsze
Bentley View Wersje wcześniejsze niż 10.16.02.* 10.16.02.* i nowsze

 

Zalecane środki zaradcze
Firma Bentley zaleca aktualizację do najnowszych wersji systemu MicroStation i aplikacji opartych na MicroStation. Jako ogólną najlepszą praktykę zaleca się również otwieranie plików FBX pochodzących wyłącznie z zaufanych źródeł.

Podziękowania
Podziękowania dla Mata Powella z Trend Micro Zero Day Initiative za wykrycie tych luk.

Historia zmian

Data Opis
07-12-2021 Pierwsza wersja poradnika
04-02-2022 Dodanie nowych numerów CVE dostarczonych przez ZDI

20% rabatu na oprogramowanie Bentley

Oferta kończy się w piątek

Użyj kodu „THANKS24“

Świętuj z nami wybitne osiągnięcia w dziedzinie realizacji i wydajności infrastruktury

Konferencja Year in Infrastructure i konkurs Going Digital Awards 2024

Zgłoś projekt do najbardziej prestiżowego konkursu w dziedzinie infrastruktury! Przedłużony termin nadsyłania zgłoszeń upływa 29 kwietnia.