Autodesk FBX|多个安全缝隙公告

颁布功夫 2020-04-24

0x00 缝隙概述



产品

CVE ID

类 型

缝隙等级

远程利用

Autodesk FBX-SDK <= 2019.0

CVE-2020-7080

BO

高危

否

CVE-2020-7081

TC

高危

否

CVE-2020-7082

UAF

高危

否

CVE-2020-7083

IO

中危

否

CVE-2020-7084

NPD

中危

否

Autodesk FBX-SDK <= 2019.2

CVE-2020-7085

HO

高危

否


0x01 缝隙详情


OG东方厅·(中国大陆)

Autodesk FBX-SDK是美国欧特克（Autodesk）公司的一款C++软件开发平台和API工具包，， ，它重要用于将现有内容转换为FBX体式。。。

4月15日，， ，Autodesk官方颁布布告批注利用FBX-SDK <= 2020.0版本的利用法式和服务可能会受到缓冲区溢出，， ，类型混合，， ，开释后重用，， ，整数溢出，， ，空指针解引用和堆溢出缝隙的影响。。。缝隙具体信息如下：：

CVE-2020-7080 是Autodesk FBX-SDK缓冲区溢出缝隙。。。攻击者可能会诱骗用户打开一个恶意FBX文件，， ，导致在系统上执行肆意代码。。。CVSS评分7.8。。。

CVE-2020-7081 是Autodesk FBX-SDK类型混合缝隙。。。攻击者可能会诱骗用户打开一个恶意FBX文件，， ，导致其读取/写入越界内存地位或在系统上运行肆意代码，， ，或者导致回绝服务。。。CVSS评分8.8。。。

CVE-2020-7082 是Autodesk FBX-SDK开释后重用缝隙。。。攻击者可能会诱骗用户打开一个恶意FBX文件，， ，导致该利用法式引用由未经授权的第三方节制的内存地位，， ，在系统上运行肆意代码。。。CVSS评分8.8。。。

CVE-2020-7083 是Autodesk FBX-SDK整数溢出缝隙。。。攻击者可能会诱骗用户打开一个恶意FBX文件，， ，使利用法式崩溃导致回绝服务。。。CVSS评分6.5。。。

CVE-2020-7084 是Autodesk FBX-SDK 空指针解引用缝隙。。。攻击者可能会诱骗用户打开一个恶意FBX文件，， ，使利用法式崩溃导致回绝服务。。。CVSS评分5.5。。。

CVE-2020-7085 是Autodesk FBX-SDK 堆溢出缝隙。。。攻击者可能会诱骗用户打开一个恶意FBX文件，， ，该文件将通过更改FBX文件中的某些值来挪用有堆溢出缝隙的FBX解析器来获取有限的代码执行，， ，从而导致在系统上运行肆意代码。。。CVSS评分7.8。。。


0x02 措置建议


目前厂商已颁布升级补丁以修复缝隙，， ，补丁获取链接：：

https://www.autodesk.com/trust/security-advisories/adsk-sa-2020-0002


0x03 有关新闻


https://www.securityweek.com/microsoft-out-band-advisory-addresses-autodesk-fbx-vulnerabilities


0x04 参考链接


https://www.autodesk.com/trust/security-advisories/adsk-sa-2020-0002

https://nvd.nist.gov/vuln/detail/CVE-2020-7080

https://nvd.nist.gov/vuln/detail/CVE-2020-7081

https://nvd.nist.gov/vuln/detail/CVE-2020-7082

https://nvd.nist.gov/vuln/detail/CVE-2020-7083

https://nvd.nist.gov/vuln/detail/CVE-2020-7084

https://nvd.nist.gov/vuln/detail/CVE-2020-7085


0x05 功夫线


2020-04-15 Autodesk官方颁布缝隙

2020-04-24 VSRC颁布缝隙公告


OG东方厅·(中国大陆)