すべての勧告 / BE-2022-0004

BE-2022-0004

BE-2022-0004: MicroStationおよびMicroStationベースのアプリケーションにおけるDGNファイル解析の境界外読み取り/書き込みの脆弱性

Bentley ID: BE-2022-0004
CVE ID: CVE-2021-46646、CVE-2022-28642、CVE-2022-28643、CVE-2022-28644、CVE-2022-28645
重大度: 7.8
CVSS v3.1: AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
公開日: 2022-04-05
改訂日: 2022-04-05

概要
MicroStationおよびMicroStationベースのアプリケーションで、悪意のあるDGNファイルを開くと、DGNファイル解析の境界外の脆弱性の影響を受けます。これらの脆弱性が悪用されて、任意のコードが実行されます。

詳細
この勧告に関連してTrendMicro ZDIによって発見された脆弱性は、ZDI-CAN-15532、ZDI-CAN-16424、ZDI-CAN-16468、ZDI-CAN-16469およびZDI-CAN-16470です。脆弱性の影響を受けるバージョンのMicroStationまたはMicroStationベースのアプリケーションを使用して、悪意のあるデータが含まれるDGNファイルを開くと、境界外読み取り/書き込みが強制実行されることがあります。DGNファイルの解析に内在するこれらの脆弱性を悪用し、攻撃者が現在のプロセスのコンテキスト内で任意のコードを実行できます。

影響を受けるバージョン

用途 影響を受けるバージョン 軽減されているバージョン
MicroStation 10.16.02.*以前のバージョン 10.16.03.*以降
Bentley View 10.16.02.*以前のバージョン 10.16.03.*以降

 

推奨される軽減策
Bentleyでは、MicroStationおよびMicroStationベースのアプリケーションを最新バージョンにアップデートすることを推奨しています。また、一般的なベストプラクティスとして、信頼できる送信元から送られてきたDGNファイルのみを開くことが推奨されています。

謝辞
これらの脆弱性の発見者であるTrend Micro Zero Day InitiativeのMat Powell様に厚くお礼申し上げます。

改訂履歴

日付 製品名
2022-04-05 この勧告の初版

Bentleyソフトウェアが20%オフ

セールは金曜日まで

クーポンコード「THANKS24」を使用

インフラストラクチャの提供とパフォーマンスの卓越性を称える

2024 Year in Infrastructure & Going Digital Awards

インフラ分野で最も権威のある賞にプロジェクトをノミネートしましょう! 応募期限は4月 29日です。