BE-2022-0008: MicroStationおよびMicroStationベースのアプリケーションにおけるOBJファイル解析のスタックオーバーフローの脆弱性

Bentley ID: BE-2022-0008
CVE ID: CVE-2022-28304、CVE-2022-28305、CVE-2022-28306
重大度: 7.8
CVSS v3.1:AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
公開日: 2022-04-05
改訂日:2022-04-05

MicroStationおよびMicroStationベースのアプリケーションで、悪意のあるOBJファイルを開くと、スタックオーバーフローの脆弱性の影響を受けることがあります。これらの脆弱性が悪用されて、コードが実行されることがあります。

詳細
この勧告に関連してTrendMicro ZDIによって発見された脆弱性は、ZDI-CAN-16171、ZDI-CAN-16172、およびZDI-CAN-16174です。脆弱性の影響を受けるバージョンのMicroStationまたはMicroStationベースのアプリケーションを使用して、悪意のあるデータが含まれるOBJファイルを開くと、スタックオーバーフローが強制実行されることがあります。OBJファイルの解析に内在するこれらの脆弱性を悪用し、攻撃者が現在のプロセスのコンテキスト内で任意のコードを実行することがあります。

影響を受けるバージョン

推奨される軽減策
Bentleyでは、MicroStationおよびMicroStationベースのアプリケーションを最新バージョンにアップデートすることを推奨しています。また、一般的なベストプラクティスとして、信頼できるソースから入手したOBJファイルのみを開くことが推奨されています。

謝辞
Trend Micro Zero Day Initiativeに協力し、これらの脆弱性を発見してくださった匿名者の皆様に厚くお礼申し上げます。

改訂履歴