PT-2022-12846 · Bentley · Microstation Connect

Mat Powell · Publicado 2022-01-31 · Atualizado 2022-02-26 · CVE-2021-46608

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.3

Média

Vetor base

AV:N/AC:M/Au:N/C:P/I:N/A:N

Nome do software vulnerável e versões afetadas

Bentley MicroStation CONNECT versão 10.16.0.80

Descrição

Esta vulnerabilidade permite que invasores remotos divulguem informações confidenciais em instalações afetadas. Ela requer interação do usuário, na qual o alvo deve visitar uma página maliciosa ou abrir um arquivo malicioso. A falha existe na análise de arquivos DWG devido à falta de validação adequada dos dados fornecidos pelo usuário, resultando em uma leitura além do fim de um buffer alocado. Um invasor pode explorar isso, potencialmente em conjunto com outras vulnerabilidades, para executar código arbitrário no contexto do processo atual.

Recomendações

Para a versão 10.16.0.80, como solução temporária, considere restringir a análise de arquivos DWG ou limitar a interação do usuário com arquivos potencialmente maliciosos até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Out of bounds Read

Enumeração de Fraquezas

CWE-125

Identificadores relacionados

CVE-2021-46608

ZDI-22-195

Produtos afetados

Microstation Connect

Referências · 4

• https://zerodayinitiative.com/advisories/ZDI-22-195 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2021-46608 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-46608 · Aviso do Fabricante
• https://bentley.com/en/common-vulnerability-exposure/BE-2021-0010 · Aviso do Fabricante