BE-2022-0009: vulnerabilidades de memoria (Use-After-Free) tras el análisis sintáctico de archivos SKP en MicroStation y aplicaciones basadas en MicroStation

ID de Bentley: BE-2022-0009
ID de CVE: CVE-2022-28303, CVE-2022-28310
Gravedad: 7.8
CVSS v3.1:
AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H Fecha de publicación: 05-04-2022
Fecha de revisión: 05-04-2022

Resumen
MicroStation y las aplicaciones basadas en MicroStation pueden verse afectados por vulnerabilidades de memoria (use-after-free) cuando se abren archivos SKP malintencionados. Explotar estas vulnerabilidades podría dar lugar a la ejecución de códigos.

Detalles
Las siguientes vulnerabilidades relacionadas con este aviso fueron descubiertas por TrendMicro ZDI: ZDI-CAN-16280 y ZDI-CAN-16339. El uso de una versión afectada de MicroStation o de una aplicación basada en MicroStation para abrir un archivo SKP que contenga datos malintencionados puede desencadenar una vulnerabilidad de memoria use-after-free. Explotar estas vulnerabilidades en el análisis de archivos SKP podría permitir a un atacante ejecutar un código arbitrario en el contexto del proceso actual.

Versiones afectadas

Mitigaciones recomendadas
Bentley recomienda actualizar a las últimas versiones de MicroStation y aplicaciones basadas en MicroStation. Como mejor práctica general, también se recomienda abrir solo los archivos SKP que provengan de fuentes de confianza.

Agradecimiento
Gracias a Mat Powell de Trend Micro Zero Day Initiative por descubrir estas vulnerabilidades.

Historial de revisiones