BE-2022-0008: Luki w zabezpieczeniach dotyczące parsowania plików OBJ z przepełnieniem stosu w MicroStation i aplikacjach opartych na MicroStation
Identyfikator Bentley: BE-2022-0008
Identyfikator CVE: CVE-2022-28304, CVE-2022-28305, CVE-2022-28306
Poziom ważności: 7.8
CVSS v3.1: AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Data publikacji: 05-04-2022
Data zmiany: 05-04-2022
Podsumowanie
Na MicroStation i aplikacje oparte na MicroStation mogą mieć wpływ luki w zabezpieczeniach dotyczące przepełnienia stosu podczas otwierania złośliwie spreparowanych plików OBJ. Wykorzystanie tych luk może doprowadzić do wykonania kodu.
Szczegóły
Grupa TrendMicro ZDI wykryła następujące luki w zabezpieczeniach związane z tym poradnikiem: ZDI-CAN-16171, ZDI-CAN-16172 and ZDI-CAN-16174. Użycie zainfekowanej wersji programu MicroStation lub aplikacji opartej na MicroStation do otwarcia pliku OBJ zawierającego złośliwie spreparowane dane może wymusić przepełnienie stosu. Wykorzystanie tych luk podczas analizowania plików OBJ może umożliwić atakującemu wykonanie dowolnego kodu w kontekście bieżącego procesu.
Wersje, których dotyczy problem
| Aplikacje | Wersje, których dotyczy problem | Wersje zabezpieczone |
| MicroStation | 10.16.02.* i wersje wcześniejsze | 10.16.03.* i nowsze |
| Bentley View | 10.16.02.* i wersje wcześniejsze | 10.16.03.* i nowsze |
Zalecane środki zaradcze
Firma Bentley zaleca aktualizację do najnowszych wersji systemu MicroStation i aplikacji opartych na MicroStation. Jako ogólną najlepszą praktykę zaleca się również otwieranie plików OBJ pochodzących wyłącznie z zaufanych źródeł.
Podziękowania
Dziękujemy grupie Anonymous, we współpracy z Trend Micro Zero Day Initiative, za wykrycie tych luk.
Historia zmian
| Data | Opis |
| 05-04-2022 | Pierwsza wersja poradnika |
