BE-2022-0006: IFC File Parsing Vulnerabilities in MicroStation and MicroStation-based applications

Identyfikator Bentley: BE-2022-0006
Identyfikator CVE: CVE-2022-28314, CVE-2022-28315, CVE-2022-28316, CVE-2022-28317, CVE-2022-28318, CVE-2022-28641, CVE-2022-28301, CVE-2022-28302, CVE-2022-28646, CVE-2022-28647, CVE-2022-1229
Poziom ważności: 7.8
CVSS v3.1: AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Data publikacji: 05-04-2022
Data zmiany: 05-04-2022

Podsumowanie
Aplikacje MicroStation i aplikacje oparte na MicroStation mogą być podatne na luki związane z analizowaniem plików IFC, gdy są otwierane złośliwie spreparowane pliki IFC. Wykorzystanie tych luk może doprowadzić do wykonania kodu.

Szczegóły
Grupa TrendMicro ZDI wykryła następujące luki w zabezpieczeniach związane z tym poradnikiem: ZDI-CAN-16332, ZDI-CAN-16367, ZDI-CAN-16368, ZDI-CAN-16369, ZDI-CAN-16379, ZDI-CAN-16390, ZDI-CAN-16392, ZDI-CAN-16446, ZDI-CAN-16570, ZDI-CAN-16573 i ZDI-CAN-16581. Użycie zainfekowanej wersji MicroStation lub aplikacji opartej na MicroStation do otwarcia pliku IFC zawierającego złośliwie spreparowane dane może wymusić odczyt lub zapis poza zakresem, przepełnienie stosu lub niezainicjowane zmienne. Wykorzystanie tych luk podczas analizowania plików IFC może umożliwić atakującemu wykonanie dowolnego kodu w kontekście bieżącego procesu.

Wersje, których dotyczy problem

Zalecane środki zaradcze
Firma Bentley zaleca aktualizację do najnowszych wersji systemu MicroStation i aplikacji opartych na MicroStation. Jako ogólną najlepszą praktykę zaleca się również otwieranie plików IFC pochodzących wyłącznie z zaufanych źródeł.

Podziękowania
Podziękowania dla Mata Powella i Anonymous z Trend Micro Zero Day Initiative za wykrycie tych luk.

Historia zmian