BE-2021-0006: Vulnerabilidades fora dos limites e de uso após a ausência de vulnerabilidades em aplicações baseadas em MicroStation e MicroStation

Bentley ID: BE-2021-0006
CVE ID: CVE-2021-34879, CVE-2021-34883, CVE-2021-34900, CVE-2021-34906, CVE-2021-34908, CVE-2021-34915, CVE-2021-34917, CVE-2021-46583, CVE-2021-46584, CVE-2021-46603, CVE-2021-46614, CVE-2021-46622, CVE-2021-46626
Gravidade: 7.8
CVSS v3.1: AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Data de publicação: 2021-12-07
Data de revisão:2021-12-07

Resumo
O MicroStation e aplicativos baseados no MicroStation podem ser afetados por vulnerabilidades de leitura fora dos limites (out-of-bounds write) ou de uso incorreto da memória dinâmica (use-after-free) ao abrir arquivos J2K criados com códigos maliciosos. A exploração destas vulnerabilidades poderia levar à execução de códigos.

Detalhes
As seguintes vulnerabilidades relacionadas a este comunicado foram descobertas pela TrendMicro ZDI: ZDI-CAN-14832, ZDI-CAN-14836, ZDI-CAN-14867, ZDI-CAN-14879, ZDI-CAN-14881, ZDI-CAN-14893, ZDI-CAN-14895, ZDI-CAN-15377, ZDI-CAN-15378, ZDI-CAN-15397, ZDI-CAN-15408, ZDI-CAN-15416, ZDI-CAN-15456. O uso de uma versão afetada do MicroStation ou aplicativo baseado no MicroStation para abrir um arquivo j2K contendo dados criados maliciosamente pode desencadear vulnerabilidade de leitura fora dos limites (out-of-bounds write) ou de uso incorreto da memória dinâmica (use-after-free). A exploração destas vulnerabilidades dentro da análise dos arquivos J2K poderia permitir que um invasor executasse um código arbitrário no contexto do processo atual.

Versões afetadas

Mitigações recomendadas
A Bentley recomenda atualizar para as versões mais recentes do MicroStation e das aplicações baseadas no MicroStation. Como melhor prática geral, também é recomendado abrir somente arquivos J2K provenientes de fontes confiáveis.

Reconhecimento
Agradecemos a Mat Powell da Trend Micro Zero Day Initiative por descobrir essas vulnerabilidades.

Histórico de revisão