西门子修复热门 CAD 库中的多个代码执行高危漏洞

本周二，西门子发布安全公告，通知客户称其 Solid Edge 产品受多个高危漏洞影响，这些漏洞是由很多其它组织机构都在使用的第四方软件引入的。

安全研究员 Andrea Micalizzi 在去年发现了这些漏洞，并通过趋势科技的 ZDI 项目和美国网络安全和基础设施安全局 (CISA) 报告。Micalizzi 此前曾在工控系统中找到了很多漏洞。

Solid Edge 是一款产品开发解决方案，包括3D 设计、模拟、制造和设计管理工具。Micalizzi 发现该产品受五个漏洞影响，其中四个是高危的可导致远程代码执行的高危漏洞，一个可导致信息泄露的中危 XXE 漏洞。攻击者可诱骗目标用户处理恶意 CATPart、3DXML、STP、PRT或JT 文件，利用这些漏洞。

研究员分析后发现，这些漏洞是由使用 Luxion 公司制造的3D渲染和动画解决方案 KeyShot 引入的。进一步分析表明这些缺陷实际上是由 Datakit CrossCad/Ware 库引入的，该库供 KeyShot 导入多种 CAD格式。

虽然截至目前，仅有西门子、KeyShot 和 CISA 发布了相关安全公告，但很多其它产品也都在使用 CrossCad/Ware，因此很多产品也可能易受攻击。法国 CAD 数据交换解决方案Datakit 在网站上指出，与100多家厂商协作，而这些厂商很多位于北美和亚太地区。

ZDI 为其中每个漏洞都单独发布公告，并在5月12日将这些漏洞的状态显示为“0day”。

然而，Datakit 公司表示，已在4月份发布版本 CrossCAD/Ware 版本2021.2 修复了这些缺陷。Datakit 建议软件厂商升级至版本2021.2或后续版本，此前版本仍然受影响。该公司还建议受影响应用的用户不要从未知来源打开不受信任的文件。

Luxion 发布 KeyShot 10.2，其中包括 Datakit 库的已修复版本。西门子建议 Solid Edge 客户按照 Luxion 发布的安全公告更新 KeyShot。

Datakit 表示稍晚点将发布声明。