西门子修复热门 CAD 库中的多个代码执行高危漏洞

  • A+
所属分类:安全新闻

西门子修复热门 CAD 库中的多个代码执行高危漏洞 聚焦源代码安全,网罗国内外最新资讯!

编译:奇安信代码卫士

西门子修复热门 CAD 库中的多个代码执行高危漏洞
本周二,西门子发布安全公告,通知客户称其 Solid Edge 产品受多个高危漏洞影响,这些漏洞是由很多其它组织机构都在使用的第四方软件引入的。

安全研究员 Andrea Micalizzi 在去年发现了这些漏洞,并通过趋势科技的 ZDI 项目和美国网络安全和基础设施安全局 (CISA) 报告。Micalizzi 此前曾在工控系统中找到了很多漏洞。

Solid Edge 是一款产品开发解决方案,包括3D 设计、模拟、制造和设计管理工具。Micalizzi 发现该产品受五个漏洞影响,其中四个是高危的可导致远程代码执行的高危漏洞,一个可导致信息泄露的中危 XXE 漏洞。攻击者可诱骗目标用户处理恶意 CATPart、3DXML、STP、PRT或JT 文件,利用这些漏洞。

研究员分析后发现,这些漏洞是由使用 Luxion 公司制造的3D渲染和动画解决方案 KeyShot 引入的。进一步分析表明这些缺陷实际上是由 Datakit CrossCad/Ware 库引入的,该库供 KeyShot 导入多种 CAD格式。

虽然截至目前,仅有西门子、KeyShot 和 CISA 发布了相关安全公告,但很多其它产品也都在使用 CrossCad/Ware,因此很多产品也可能易受攻击。法国 CAD 数据交换解决方案Datakit 在网站上指出,与100多家厂商协作,而这些厂商很多位于北美和亚太地区。

西门子修复热门 CAD 库中的多个代码执行高危漏洞


ZDI 为其中每个漏洞都单独发布公告,并在5月12日将这些漏洞的状态显示为“0day”。

然而,Datakit 公司表示,已在4月份发布版本 CrossCAD/Ware 版本2021.2 修复了这些缺陷。Datakit 建议软件厂商升级至版本2021.2或后续版本,此前版本仍然受影响。该公司还建议受影响应用的用户不要从未知来源打开不受信任的文件。

Luxion 发布 KeyShot 10.2,其中包括 Datakit 库的已修复版本。西门子建议 Solid Edge 客户按照 Luxion 发布的安全公告更新 KeyShot。

Datakit 表示稍晚点将发布声明。





推荐阅读

西门子 PLM 产品被曝数十个漏洞,可导致代码执行后果
西门子 SPPA-T3000被曝多个严重漏洞,威胁全球电厂安全
西门子工具中被指存在严重漏洞
西门子中继防护设备存在缺陷易受 DoS 攻击




原文链接

https://www.securityweek.com/siemens-addresses-code-execution-vulnerabilities-found-popular-cad-library


题图:Pixabay License


本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。



西门子修复热门 CAD 库中的多个代码执行高危漏洞
西门子修复热门 CAD 库中的多个代码执行高危漏洞

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的

产品线。

   西门子修复热门 CAD 库中的多个代码执行高危漏洞 觉得不错,就点个 “在看” 或 "” 吧~



本文始发于微信公众号(代码卫士):西门子修复热门 CAD 库中的多个代码执行高危漏洞

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: