BE-2022-0009: MicroStationおよびMicroStationベースのアプリケーションにおけるSKPファイル解析の解放済みメモリ使用の脆弱性
Bentley ID: BE-2022-0009
CVE ID: CVE-2022-28303、CVE-2022-28310
重大度: 7.8
CVSS v3.1: AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
公開日: 2022-04-05
改訂日: 2022-04-05
概要
MicroStationおよびMicroStationベースのアプリケーションで、悪意のあるSKPファイルを開くと、解放済みメモリ使用（Use-After-Free）の脆弱性の影響を受けることがあります。これらの脆弱性が悪用されて、コードが実行されることがあります。
詳細
この勧告に関連してTrendMicro ZDIによって発見された脆弱性は、ZDI-CAN-16280とZDI-CAN-16339です。脆弱性の影響を受けるバージョンのMicroStationまたはMicroStationベースのアプリケーションを使用して、悪意のあるデータが含まれるSKPファイルを開くと、解放済みメモリ使用（Use-After-Free）の脆弱性が発動することがあります。SKPファイルの解析に内在するこれらの脆弱性を悪用し、攻撃者が現在のプロセスのコンテキスト内で任意のコードを実行することがあります。
影響を受けるバージョン
| 用途 | 影響を受けるバージョン | 軽減されているバージョン |
| MicroStation | 10.16.02.*以前のバージョン | 10.16.03.*以降 |
| Bentley View | 10.16.02.*以前のバージョン | 10.16.03.*以降 |
推奨される軽減策
Bentleyでは、MicroStationおよびMicroStationベースのアプリケーションを最新バージョンにアップデートすることを推奨しています。また、一般的なベストプラクティスとして、信頼できるソースから入手したSKPファイルのみを開くことが推奨されています。
謝辞
これらの脆弱性の発見者であるTrend Micro Zero Day InitiativeのMat Powell様に厚くお礼申し上げます。
改訂履歴
| 日付 | 製品名 |
| 2022-04-05 | この勧告の初版 |
