BE-2021-0002: Out-of-bounds vulnerabilities in MicroStation and MicroStation-based applications

Bentley-ID: BE-2021-0002
CVE-ID: CVE-2021-34871, CVE-2021-34893, CVE-2021-34896, CVE-2021-34903, CVE-2021-34907, CVE-2021-46605, CVE-2021-46606, CVE-2021-46615, CVE-2021-46616, CVE-2021-46628, CVE-2021-46629, CVE-2021-46645, CVE-2021-46647, CVE-2021-46653
Schweregrad: 7,8
CVSS v3.1: AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Veröffentlichungsdatum: 07.12.2021
Überarbeitungsdatum: 07.12.2021

Zusammenfassung
MicroStation und MicroStation-basierte Anwendungen können beim Öffnen von in böser Absicht erstellten BMP-Dateien durch Schwachstellen außerhalb des zulässigen Bereichs betroffen sein. Die Ausnutzung dieser Schwachstellen kann zur Codeausführung führen.

Details
Die folgenden Schwachstellen im Zusammenhang mit diesem Hinweis wurden von TrendMicro ZDI entdeckt: ZDI-CAN-14695, ZDI-CAN-14846, ZDI-CAN-14863, ZDI-CAN-14876, ZDI-CAN-14880, ZDI-CAN-15399, ZDI-CAN-15400, ZDI-CAN-15409, ZDI-CAN-15410, ZDI-CAN-15458, ZDI-CAN-15459, ZDI-CAN-15531, ZDI-CAN-15533, ZDI-CAN-15539. Wenn Sie eine betroffene Version von MicroStation oder einer MicroStation-basierten Anwendung zum Öffnen einer BMP-Datei mit in böser Absicht erstellten Daten verwenden, kann ein Lesen oder Schreiben außerhalb des zulässigen Bereichs erzwungen werden. Die Ausnutzung dieser Schwachstellen beim Parsen von BMP-Dateien könnte es einem Angreifer ermöglichen, beliebigen Code im Kontext des aktuellen Prozesses auszuführen.

Affected Versions

Empfohlene Schutzmaßnahmen
Bentley empfiehlt, die neuesten Versionen von MicroStation und MicroStation-basierten Anwendungen zu verwenden. Generell wird empfohlen, nur BMP-Dateien zu öffnen, die aus vertrauenswürdigen Quellen stammen.

Danksagung
Vielen Dank an Francis Provencher {PRL} für die Entdeckung von ZDI-CAN-14695. Vielen Dank an Mat Powell von der Trend Micro Zero Day Initiative für die Entdeckung der restlichen Schwachstellen im Zusammenhang mit diesem Hinweis.

Revision History