Autodesk FBX|多个安全缝隙公告

颁布功夫 2020-04-24

0x00 缝隙概述



产品

CVE ID

类 型

缝隙等级

远程利用

Autodesk FBX-SDK <= 2019.0

CVE-2020-7080

BO

高危

否

CVE-2020-7081

TC

高危

否

CVE-2020-7082

UAF

高危

否

CVE-2020-7083

IO

中危

否

CVE-2020-7084

NPD

中危

否

Autodesk FBX-SDK <= 2019.2

CVE-2020-7085

HO

高危

否


0x01 缝隙详情


8827太阳集团(Macau)股份有限公司-Official website

Autodesk FBX-SDK是美国欧特克（Autodesk）公司的一款C++软件开发平台和API工具包，，，，，它重要用于将现有内容转换为FBX体式。。。。。。。

4月15日，，，，，Autodesk官方颁布布告批注利用FBX-SDK <= 2020.0版本的利用法式和服务可能会受到缓冲区溢出，，，，，类型混合，，，，，开释后沉用，，，，，整数溢出，，，，，空指针解引用和堆溢露马脚的影响。。。。。。。缝隙具体信息如下：

CVE-2020-7080 是Autodesk FBX-SDK缓冲区溢露马脚。。。。。。。攻击者可能会诱骗用户打开一个恶意FBX文件，，，，，导致在系统上执行肆意代码。。。。。。。CVSS评分7.8。。。。。。。

CVE-2020-7081 是Autodesk FBX-SDK类型混合缝隙。。。。。。。攻击者可能会诱骗用户打开一个恶意FBX文件，，，，，导致其读取/写入越界内存地位或在系统上运行肆意代码，，，，，或者导致回绝服务。。。。。。。CVSS评分8.8。。。。。。。

CVE-2020-7082 是Autodesk FBX-SDK开释后沉用缝隙。。。。。。。攻击者可能会诱骗用户打开一个恶意FBX文件，，，，，导致该利用法式引用由未经授权的第三方节造的内存地位，，，，，在系统上运行肆意代码。。。。。。。CVSS评分8.8。。。。。。。

CVE-2020-7083 是Autodesk FBX-SDK整数溢露马脚。。。。。。。攻击者可能会诱骗用户打开一个恶意FBX文件，，，，，使利用法式崩溃导致回绝服务。。。。。。。CVSS评分6.5。。。。。。。

CVE-2020-7084 是Autodesk FBX-SDK 空指针解引用缝隙。。。。。。。攻击者可能会诱骗用户打开一个恶意FBX文件，，，，，使利用法式崩溃导致回绝服务。。。。。。。CVSS评分5.5。。。。。。。

CVE-2020-7085 是Autodesk FBX-SDK 堆溢露马脚。。。。。。。攻击者可能会诱骗用户打开一个恶意FBX文件，，，，，该文件将通过更改FBX文件中的某些致反挪用有堆溢露马脚的FBX解析器来获取有限的代码执行，，，，，从而导致在系统上运行肆意代码。。。。。。。CVSS评分7.8。。。。。。。


0x02 措置建议


目前厂商已颁布升级补丁以建复缝隙，，，，，补丁获取链接：

https://www.autodesk.com/trust/security-advisories/adsk-sa-2020-0002


0x03 有关新闻


https://www.securityweek.com/microsoft-out-band-advisory-addresses-autodesk-fbx-vulnerabilities


0x04 参考链接


https://www.autodesk.com/trust/security-advisories/adsk-sa-2020-0002

https://nvd.nist.gov/vuln/detail/CVE-2020-7080

https://nvd.nist.gov/vuln/detail/CVE-2020-7081

https://nvd.nist.gov/vuln/detail/CVE-2020-7082

https://nvd.nist.gov/vuln/detail/CVE-2020-7083

https://nvd.nist.gov/vuln/detail/CVE-2020-7084

https://nvd.nist.gov/vuln/detail/CVE-2020-7085


0x05 功夫线


2020-04-15 Autodesk官方颁布缝隙

2020-04-24 VSRC颁布缝隙公告


8827太阳集团(Macau)股份有限公司-Official website