Autodesk FBX|多个安全缝隙公告

颁布功夫 2020-04-24

0x00 缝隙概述



产品

CVE ID

类 型

缝隙等级

远程利用

Autodesk FBX-SDK <= 2019.0

CVE-2020-7080

BO

高危

否

CVE-2020-7081

TC

高危

否

CVE-2020-7082

UAF

高危

否

CVE-2020-7083

IO

中危

否

CVE-2020-7084

NPD

中危

否

Autodesk FBX-SDK <= 2019.2

CVE-2020-7085

HO

高危

否


0x01 缝隙详情


GA黄金甲·(中国区)官方网站

Autodesk FBX-SDK是美国欧特克（Autodesk）公司的一款C++软件开发平台和API工具包，它重要用于将现有内容转换为FBX体式。

4月15日，Autodesk官方颁布布告批注利用FBX-SDK <= 2020.0版本的利用法式和服务可能会受到缓冲区溢出，类型混合，开释后沉用，整数溢出，空指针解引用和堆溢露马脚的影响。缝隙具体信息如下：

CVE-2020-7080 是Autodesk FBX-SDK缓冲区溢露马脚。攻击者可能会诱骗用户打开一个恶意FBX文件，导致在系统上执行肆意代码。CVSS评分7.8。

CVE-2020-7081 是Autodesk FBX-SDK类型混合缝隙。攻击者可能会诱骗用户打开一个恶意FBX文件，导致其读取/写入越界内存地位或在系统上运行肆意代码，或者导致回绝服务。CVSS评分8.8。

CVE-2020-7082 是Autodesk FBX-SDK开释后沉用缝隙。攻击者可能会诱骗用户打开一个恶意FBX文件，导致该利用法式引用由未经授权的第三方节造的内存地位，在系统上运行肆意代码。CVSS评分8.8。

CVE-2020-7083 是Autodesk FBX-SDK整数溢露马脚。攻击者可能会诱骗用户打开一个恶意FBX文件，使利用法式崩溃导致回绝服务。CVSS评分6.5。

CVE-2020-7084 是Autodesk FBX-SDK 空指针解引用缝隙。攻击者可能会诱骗用户打开一个恶意FBX文件，使利用法式崩溃导致回绝服务。CVSS评分5.5。

CVE-2020-7085 是Autodesk FBX-SDK 堆溢露马脚。攻击者可能会诱骗用户打开一个恶意FBX文件，该文件将通过更改FBX文件中的某些致反挪用有堆溢露马脚的FBX解析器来获取有限的代码执行，从而导致在系统上运行肆意代码。CVSS评分7.8。


0x02 措置建议


目前厂商已颁布升级补丁以建复缝隙，补丁获取链接：

https://www.autodesk.com/trust/security-advisories/adsk-sa-2020-0002


0x03 有关新闻


https://www.securityweek.com/microsoft-out-band-advisory-addresses-autodesk-fbx-vulnerabilities


0x04 参考链接


https://www.autodesk.com/trust/security-advisories/adsk-sa-2020-0002

https://nvd.nist.gov/vuln/detail/CVE-2020-7080

https://nvd.nist.gov/vuln/detail/CVE-2020-7081

https://nvd.nist.gov/vuln/detail/CVE-2020-7082

https://nvd.nist.gov/vuln/detail/CVE-2020-7083

https://nvd.nist.gov/vuln/detail/CVE-2020-7084

https://nvd.nist.gov/vuln/detail/CVE-2020-7085


0x05 功夫线


2020-04-15 Autodesk官方颁布缝隙

2020-04-24 VSRC颁布缝隙公告


GA黄金甲·(中国区)官方网站