CVE-2023-29073

Heap-Based Buffer Overflow w Autodesk AutoCAD przy parsowaniu pliku MODEL

CVSS 9.8v3.1pub. 2023-11-23upd. 2024-11-21

Podatność typu heap-based buffer overflow w Autodesk AutoCAD 2023 i 2024 pozwala atakującemu na wykonanie dowolnego kodu poprzez spreparowany plik MODEL. Ze względu na krytyczny wynik CVSS (9.8) i możliwość zdalnego wykonania kodu bez uwierzytelnienia, stanowi poważne zagrożenie dla użytkowników oprogramowania CAD.

▸ Pokaż oryginał (EN)

A maliciously crafted MODEL file when parsed through Autodesk AutoCAD 2024 and 2023 can be used to cause a Heap-Based Buffer Overflow. A malicious actor can leverage this vulnerability to cause a crash, read sensitive data, or execute arbitrary code in the context of the current process.

🤖 Analiza AI

Jak działa

Błąd występuje podczas parsowania złośliwie spreparowanego pliku MODEL przez Autodesk AutoCAD. Nieprawidłowa obsługa danych wejściowych prowadzi do przepełnienia bufora na stercie (heap-based buffer overflow), co odpowiada wadom CWE-122 i CWE-787 (zapis poza granicami bufora). Atakujący może dostarczyć ofierze taki plik, np. za pośrednictwem poczty elektronicznej lub udostępnionego zasobu sieciowego, a samo otwarcie pliku w podatnej aplikacji wyzwala exploit.

Skutki

Atakujący może doprowadzić do awarii aplikacji (DoS), odczytu wrażliwych danych z pamięci procesu lub wykonania dowolnego kodu (RCE) w kontekście aktualnie zalogowanego użytkownika.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://www.autodesk.com/trust/security-advisories/adsk-sa-2023-0018. Zaleca się niezwłoczną aktualizację oprogramowania do wersji wskazanej przez Autodesk. Jako dodatkowy środek ostrożności należy zachować szczególną ostrożność przy otwieraniu plików MODEL pochodzących z niezaufanych źródeł.

Kogo dotyczy

Autodesk AutoCAD 2023, Autodesk AutoCAD 2024, Autodesk AutoCAD Advance Steel 2023, Autodesk AutoCAD Advance Steel 2024

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Autodesk Autocad
APP
Autodesk
< 2024.12023.0.0 – 2023.1.4 (bez)2024.0.0 – 2024.1.1 (bez)
Autodesk Autocad Advance Steel
APP
Autodesk
< 2023.1.42024.0.0 – 2024.1.1 (bez)
Autodesk Autocad Architecture
APP
Autodesk
< 2023.1.42024.0.0 – 2024.1.1 (bez)
Autodesk Autocad Civil 3d
APP
Autodesk
< 2023.1.42024.0.0 – 2024.1.1 (bez)
Autodesk Autocad Electrical
APP
Autodesk
< 2023.1.42024.0.0 – 2024.1.1 (bez)
Autodesk Autocad Lt
APP
Autodesk
< 2023.1.4< 2024.12024.0.0 – 2024.1.1 (bez)
Autodesk Autocad Map 3d
APP
Autodesk
< 2023.1.42024.0.0 – 2024.1.1 (bez)
Autodesk Autocad Mechanical
APP
Autodesk
< 2023.1.42024.0.0 – 2024.1.1 (bez)
Autodesk Autocad Mep
APP
Autodesk
< 2023.1.42024.0.0 – 2024.1.1 (bez)
Autodesk Autocad Plant 3d
APP
Autodesk
< 2023.1.42024.0.0 – 2024.1.1 (bez)