BE-2022-0003: 3DS File Parsing Out-Of-Bounds Read in MicroStation and MicroStation-based applications
ID Bentley : BE-2022-0003
ID CVE : CVE-2022-28308, CVE-2022-28309, CVE-2022-28312, CVE-2022-28313
Gravité : 3,3
CVSS v3.1 : AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Date de publication : 2022-04-05
Date de révision : 2022-04-05
Résumé
MicroStation et les applications basées sur MicroStation peuvent être affectées par des vulnérabilités de lecture hors limites lors de l'ouverture de fichiers 3DS conçus de façon malveillante. L'exploitation de ces vulnérabilités pourrait entraîner la divulgation d'informations.
Détails
Les vulnérabilités suivantes liées à cet avis ont été découvertes par TrendMicro ZDI : ZDI-CAN-16307, ZDI-CAN-16308, ZDI-CAN-16342 et ZDI-CAN-16343. L'utilisation d'une version affectée de MicroStation ou d'une application basée sur MicroStation pour ouvrir un fichier 3DS contenant des données conçues de façon malveillante peut forcer une lecture hors limites. L'exploitation de ces vulnérabilités dans l'analyse des fichiers 3DS pourrait permettre la divulgation d'informations dans le contexte du processus en cours.
Affected Versions
| Applications | Affected Versions | Mitigated Versions |
| MicroStation | 10.16.02.* et versions antérieures | 10.16.03.* and more recent |
| Bentley View | 10.16.02.* et versions antérieures | 10.16.03.* and more recent |
Mesures d’atténuation recommandées
Bentley recommande d’effectuer la mise à jour vers les dernières versions de MicroStation et des applications basées sur MicroStation. En règle générale, il est également recommandé de n’ouvrir que les fichiers 3DS provenant de sources fiables.
Remerciements
Merci à Mat Powell de l'initiative Zero Day de Trend Micro d'avoir découvert ces vulnérabilités.
Revision History
| Date | Description |
| 05-04-2022 | Première version de l’avis |
