BE-2022-0003: MicroStationおよびMicroStationベースのアプリケーションにおける3DSファイル解析の境界外読み取りの脆弱性

Bentley ID: BE-2022-0003
CVE ID: CVE-2022-28308、CVE-2022-28309、CVE-2022-28312、CVE-2022-28313
重大度: 3.3
CVSS v3.1: AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
公開日: 2022-04-05
改訂日: 2022-04-05

概要
MicroStationおよびMicroStationベースのアプリケーションで、悪意のある3DSファイルを開くと、境界外読み取りの脆弱性の影響を受けることがあります。これらの脆弱性が悪用されて、情報が開示されることがあります。

詳細
この勧告に関連してTrendMicro ZDIによって発見された脆弱性は、ZDI-CAN-16307、ZDI-CAN-16308、ZDI-CAN-16342、およびZDI-CAN-16343です。脆弱性の影響を受けるバージョンのMicroStationまたはMicroStationベースのアプリケーションを使用して、悪意のあるデータが含まれる3DSファイルを開くと、境界外読み取りが強制実行されることがあります。3DSファイルの解析に内在するこれらの脆弱性を悪用し、現在のプロセスのコンテキスト内で情報が開示されることがあります。

影響を受けるバージョン

推奨される軽減策
Bentleyでは、MicroStationおよびMicroStationベースのアプリケーションを最新バージョンにアップデートすることを推奨しています。一般的なベストプラクティスとして、信頼できるソースから入手した3DSファイルのみを開くことが推奨されています。

謝辞
これらの脆弱性の発見者であるTrend Micro Zero Day InitiativeのMat Powell様に厚くお礼申し上げます。

改訂履歴