Out-of-Bounds Write in Autodesk AutoCAD, Advance Steel und Civil 3D möglich

Autodesk hat mehrere schwerwiegende Sicherheitslücken in seinen Produkten AutoCAD, Advance Steel und Civil 3D entdeckt. Diese Schwachstellen wurden am 31. Mai 2024 unter der Kennung ADSK-SA-2024-0009 veröffentlicht und können erhebliche Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der betroffenen Systeme haben.

Die Schwachstellen umfassen verschiedene Typen von Sicherheitslücken, darunter Out-of-Bounds Write, Out-of-Bounds Read, Heap-basierte Überläufe, Stack-basierte Überläufe, Use-After-Free, Memory Corruption, Uninitialized Variable und Double Free. Die Ausnutzung dieser Schwachstellen kann zur Ausführung von beliebigem Code führen.

CVE-2024-0446: Eine bösartig gestaltete STP-, CATPART- oder MODEL-Datei kann bei der Verarbeitung in ASMKERN228A.dll und ASMdatax229A.dll durch Autodesk-Anwendungen zu einem Out-of-Bounds Write führen. Ein Angreifer kann diese Schwachstelle nutzen, um einen Absturz zu verursachen, sensible Daten zu schreiben oder beliebigen Code im Kontext des aktuellen Prozesses auszuführen.

CVE-2024-23120: Eine bösartig gestaltete STP- und STEP-Datei kann bei der Verarbeitung in ASMIMPORT228A.dll durch Autodesk-Anwendungen zu einem Out-of-Bounds Write führen. Ein Angreifer kann diese Schwachstelle nutzen, um einen Absturz zu verursachen, sensible Daten zu schreiben oder beliebigen Code im Kontext des aktuellen Prozesses auszuführen.

CVE-2024-23122: Eine bösartig gestaltete 3DM-Datei kann bei der Verarbeitung in opennurbs.dll durch Autodesk-Anwendungen zu einem Out-of-Bounds Write führen. Ein Angreifer kann diese Schwachstelle nutzen, um einen Absturz zu verursachen, sensible Daten zu schreiben oder beliebigen Code im Kontext des aktuellen Prozesses auszuführen.

Es existieren noch 23 weitere teils ähnlich kritische Schwachstellen. Die Schwachstellen betreffen die folgenden Versionen von Autodesk-Produkten:

  • Autodesk AutoCAD: 2024
  • Autodesk AutoCAD Architecture: 2024
  • Autodesk AutoCAD Electrical: 2024
  • Autodesk AutoCAD Map 3D: 2024
  • Autodesk AutoCAD Mechanical: 2024
  • Autodesk AutoCAD MEP: 2024
  • Autodesk AutoCAD Plant 3D: 2024
  • Autodesk Civil 3D: 2024
  • Autodesk Advance Steel: 2024

Autodesk empfiehlt allen Benutzern der betroffenen Produkte dringend, die neuesten Updates über Autodesk Access oder das Accounts Portal zu installieren. Diese Updates beheben die identifizierten Schwachstellen und erhöhen die Sicherheit der Systeme. Kunden, die frühere Versionen verwenden, die nicht mehr vollständig unterstützt werden, sollten so schnell wie möglich auf eine unterstützte Version aktualisieren, um Ausfallzeiten und potenzielle Sicherheitslücken zu vermeiden.

Tags :

Related Posts

Schwachstelle im NPM-Paket node-ip erlaubt möglicherweise SSRF-Angriffe

Eine Sicherheitslücke im NPM-Paket node-ip für Node.js wurde entdeckt, die es ermöglicht, dass einige private IP-Adressen fälschlicherweise als öffentlich kategorisiert werden. Diese Schwachstelle, die unter CVE-2023-42282 gemeldet und nicht vollständig behoben wurde, bleibt in den Versionen bis einschließlich 2.0.1 bestehen. Die unvollständige Behebung dieser Schwachstelle führte zur neuen Kennung CVE-2024-29415.

Read More

Kritische SQL Injection Lücke in wpDataTables Plugin für WordPress entdeckt

Eine kritische Sicherheitslücke wurde im wpDataTables Plugin für WordPress entdeckt. Das Plugin, das für die Erstellung dynamischer Tabellen und Diagramme genutzt wird, ist in den Versionen bis einschließlich 6.3.1 von einer SQL-Injection-Schwachstelle betroffen. Diese Schwachstelle wird mit CVSS Score 10/10 als äußerst schwerwiegend eingestuft und trägt die CVE-Nummer CVE-2024-3820.

Read More

Schwachstelle in SkyBridge Routern ermöglicht OS Command Injection

In den Routern SkyBridge MB-A100/MB-A110 und SkyBridge BASIC MB-A130 von Seiko wurde eine Schwachstelle entdeckt, die eine Betriebssystem-Befehlsinjektion (CWE-77) ermöglicht. Diese Sicherheitslücke, die unter der Kennung CVE-2024-32850 registriert ist, kann von Angreifern ausgenutzt werden, um beliebige Befehle auszuführen oder sich mit Administratorrechten am Produkt anzumelden. Die Schwachstelle erhielt die CVSS Bewertung 9.8 /10.

Read More