Tous les avis / BE-2021-0015

BE-2021-0015

BE-2021-0015: Use of uninitialized memory in MicroStation and MicroStation-based applications

ID Bentley : BE-2021-0015
ID CVE : CVE-2021-46617, CVE-2021-46631
Gravité : 7,8
CVSS v3.1 : AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Date de publication : 07-122021
Date de révision : 07-12-2021

Résumé
MicroStation et les applications basées sur MicroStation peuvent être affectées par des vulnérabilités de mémoire non initialisée lors de l'ouverture de fichiers TIF conçus de façon malveillante. L'exploitation de ces vulnérabilités pourrait entraîner l'exécution de code.

Détails
Les vulnérabilités suivantes liées à cet avis ont été découvertes par TrendMicro ZDI : ZDI-CAN-15411, ZDI-CAN-15461. L'utilisation d'une version affectée de MicroStation ou d'une application basée sur MicroStation pour ouvrir un fichier TIF contenant des données malveillantes peut déclencher une vulnérabilité de mémoire non initialisée. L'exploitation de cette vulnérabilité dans le cadre de l'analyse de fichiers TIF pourrait permettre à un attaquant d'exécuter du code de façon arbitraire dans le contexte du processus en cours.

Affected Versions

Applications Affected Versions Mitigated Versions
MicroStation Versions prior to 10.16.02.* 10.16.02.* and more recent
Bentley View Versions prior to 10.16.02.* 10.16.02.* and more recent

 

Mesures d'atténuation recommandées
Bentley recommande d'effectuer la mise à jour vers les dernières versions de MicroStation et des applications basées sur MicroStation. En règle générale, il est également recommandé de n'ouvrir que les fichiers TIF provenant de sources fiables.

Remerciements
Merci à Mat Powell de l'initiative Zero Day de Trend Micro d'avoir découvert cette vulnérabilité.

Revision History

Date Description
07-12-2021 Première version de l’avis
04-02-2022 Adding the CVE numbers provided by ZDI

20 % de réduction sur les logiciels Bentley

L'OFFRE PREND FIN VENDREDI

Utilisez le code « THANKS24 »

Célébrez l'excellence en matière d'infrastructure et de performance

Year in Infrastructure 2024 et Going Digital Awards

Présentez un projet pour les prix les plus prestigieux en matière d'infrastructure ! La nouvelle date limite d'inscription est le 29 avril.