BE-2022-0004: Luki w zabezpieczeniach dotyczące parsowania plików DGN poza zakresem w MicroStation i aplikacjach opartych na MicroStation
Identyfikator Bentley: BE-2022-0004
Identyfikator CVE: CVE-2021-46646, CVE-2022-28642, CVE-2022-28643, CVE-2022-28644, CVE-2022-28645
Poziom ważności: 7.8
CVSS v3.1: AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Data publikacji: 05-04-2022
Data zmiany: 05-04-2022
Podsumowanie
MicroStation i aplikacje oparte na MicroStation są dotknięte lukami w parsowaniu plików DGN poza zakresem podczas otwierania złośliwie spreparowanych plików DGN. Wykorzystanie tych luk prowadzi do wykonania dowolnego kodu.
Szczegóły
Grupa TrendMicro ZDI wykryła następujące luki w zabezpieczeniach związane z tym poradnikiem: ZDI: ZDI-CAN-15532, ZDI-CAN-16424, ZDI-CAN-16468, ZDI-CAN-16469 i ZDI-CAN-16470. Użycie zainfekowanej wersji programu MicroStation lub aplikacji opartej na MicroStation do otwarcia pliku DGN zawierającego złośliwie spreparowane dane może wymusić odczyt lub zapis poza zakresem. Wykorzystanie tych luk podczas analizowania plików DGN umożliwia atakującemu wykonanie dowolnego kodu w kontekście bieżącego procesu.
Wersje, których dotyczy problem
| Aplikacje | Wersje, których dotyczy problem | Wersje zabezpieczone |
| MicroStation | 10.16.02.* i wersje wcześniejsze | 10.16.03.* i nowsze |
| Bentley View | 10.16.02.* i wersje wcześniejsze | 10.16.03.* i nowsze |
Zalecane środki zaradcze
Firma Bentley zaleca aktualizację do najnowszych wersji systemu MicroStation i aplikacji opartych na MicroStation. Jako ogólną najlepszą praktykę zaleca się również otwieranie plików DGN pochodzących wyłącznie z zaufanych źródeł.
Podziękowania
Podziękowania dla Mata Powella z Trend Micro Zero Day Initiative za wykrycie tych luk.
Historia zmian
| Data | Opis |
| 05-04-2022 | Pierwsza wersja poradnika |
