BE-2021-0013: vulnerabilidades de fuera de los límites permitidos en MicroStation y aplicaciones basadas en MicroStation
ID de Bentley: BE-2021-0013
ID de CVE: CVE-2021-46604, CVE-2021-46618
Gravedad: 7.8
CVSS v3.1:
AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H Fecha de publicación: 07-12-2021
Fecha de revisión: 07-12-2021
Resumen
MicroStation y las aplicaciones basadas en MicroStation podrían verse afectados por vulnerabilidades fuera de los límites cuando se abren archivos PNG malintencionados. Explotar estas vulnerabilidades podría conducir a la ejecución de código.
Detalles
Las siguientes vulnerabilidades relacionadas con este aviso fueron descubiertas por TrendMicro ZDI: ZDI: ZDI-CAN-15398, ZDI-CAN-15412. El uso de una versión afectada de MicroStation o de una aplicación basada en MicroStation para abrir un archivo PNG que contenga datos malintencionados puede forzar una lectura o escritura fuera de los límites permitidos (out-of-bounds). Explotar estas vulnerabilidades en el análisis de archivos PNG podría permitir a un atacante ejecutar código arbitrario en el contexto del proceso actual.
Versiones afectadas
| Aplicaciones | Versiones afectadas | Versiones con menor vulnerabilidad |
| MicroStation | Versiones anteriores a 10.16.02.* | 10.16.02.* y más reciente |
| Bentley View | Versiones anteriores a 10.16.02.* | 10.16.02.* y más reciente |
Mitigaciones recomendadas
Bentley recomienda actualizar a las últimas versiones de MicroStation y las aplicaciones basadas en MicroStation. Como mejor práctica general, también se recomienda abrir sólo los archivos PNG que provengan de fuentes de confianza.
Agradecimiento
Gracias a Mat Powell de Trend Micro Zero Day Initiative por descubrir estas vulnerabilidades.
Historial de revisiones
| Fecha | Descripción |
| 12-07-2021 | Primera versión de este aviso |
| 02-04-2022 | Adición de nuevos números de Exposición a Vulnerabilidades Comunes (número CVE) proporcionado por ZDI |
