BE-2021-0003: Out-of-bounds and use-after-free vulnerabilities in MicroStation and MicroStation-based applications

Bentley-ID: BE-2021-0003
CVE-ID: CVE-2021-34873, CVE-2021-34887, CVE-2021-46599, CVE-2021-46609, CVE-2021-46612, CVE-2021-46619, CVE-2021-46633
Schweregrad: 7,8
CVSS v3.1: AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Veröffentlichungsdatum: 07.12.2021
Überarbeitungsdatum: 07.12.2021

Zusammenfassung
MicroStation und MicroStation-basierte Anwendungen können beim Öffnen in böser Absicht erstellter PDF-Dateien von Schwachstellen außerhalb des zulässigen Bereichs oder des Typs „Use-after-free“ betroffen sein. Die Ausnutzung dieser Schwachstellen kann zur Codeausführung führen.

Details
Die folgenden Schwachstellen im Zusammenhang mit diesem Hinweis wurden von TrendMicro ZDI entdeckt: ZDI-CAN-14696, ZDI-CAN-14840, ZDI-CAN-15393, ZDI-CAN-15403, ZDI-CAN-15406, ZDI-CAN-15413, ZDI-CAN-15463. Die Verwendung einer betroffenen Version von MicroStation oder einer MicroStation-basierten Anwendung zum Öffnen einer PDF-Datei, die in böser Absicht erstellte Daten enthält, kann eine Schwachstelle durch Lesen außerhalb des zulässigen Bereichs oder des Typs „Use-after-free“ auslösen. Die Ausnutzung dieser Schwachstellen beim Parsen von PDF-Dateien könnte es einem Angreifer ermöglichen, beliebigen Code im Kontext des aktuellen Prozesses auszuführen.

Affected Versions

Empfohlene Schutzmaßnahmen
Bentley empfiehlt, die neuesten Versionen von MicroStation und MicroStation-basierten Anwendungen zu verwenden. Generell wird empfohlen, nur PDF-Dateien zu öffnen, die aus vertrauenswürdigen Quellen stammen.

Danksagung
Vielen Dank an Francis Provencher {PRL} für die Entdeckung von ZDI-CAN-14696. Vielen Dank an Mat Powell von der Trend Micro Zero Day Initiative für die Entdeckung der restlichen Schwachstellen im Zusammenhang mit diesem Hinweis.

Revision History