[TLP:CLEAR] Autodesk AutoCAD opravuje 22 zranitelností
Autodesk verzí 2024.1.6 opravuje zranitelnost v produktu AutoCAD 2024 a verzí 2025.1.1 21 zranitelností v produktu AutoCAD 2025. Detailní popis jednotlivých zranitelností naleznete na [1][2][3].
Neautentizovanému lokálnímu útočníkovi je při parsování specificky vytvořeného CATPART souboru umožněno poškodit data v paměti a potenciálně způsobit pád aplikace, neoprávněně zapsat data či spustit kód. Tato zranitelnost se týká produktu AutoCAD 2024 [1].
Zranitelnost se nachází v produktu:
- AutoCAD; >=2024, <2024.1.6
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-8592 na cve.org, NVD
- CWE-787: Buffer Copy without Checking Size of Input ('Classic Buffer Overflow') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 29. 10. 2024.
Neautentizovanému lokálnímu útočníkovi je při parsování specificky vytvořených souborů (3DM, MODEL) skrze zranitelnosti typu use-after-free umožněno způsobit pád aplikace, neoprávněně zapsat data či spustit kód. Tyto zranitelnosti se týkají produktu AutoCAD 2025 a některých dalších na něm založených [2].
Zranitelnost se nachází v produktu:
- AutoCAD; >=2025, <2025.1.1
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-8590 na cve.org, NVD
- CVE-2024-8595 na cve.org, NVD
- CVE-2024-9826 na cve.org, NVD
- CWE-416: Use After Free na cwe.mitre.org
Zranitelnost byla veřejně oznámena 29. 10. 2024.
Neautentizovanému lokálnímu útočníkovi je při parsování specificky vytvořeného DXF souboru skrze přístup k neinicializované proměnné umožněno způsobit pád aplikace, neoprávněně zapsat data či spustit kód. Tato zranitelnost se týká produktu AutoCAD 2025 a některých dalších na něm založených [3][2].
Zranitelnost se nachází v produktu:
- AutoCAD; >=2025, <2025.1.1
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-8896 na cve.org, NVD
- CWE-908: Use of Uninitialized Resource na cwe.mitre.org
Zranitelnost byla veřejně oznámena 29. 10. 2024.
Neautentizovanému lokálnímu útočníkovi je při parsování specificky vytvořených souborů (DWG, DXF, SLDPRT, 3DM, CATPART, MODEL, STEP, STP) skrze nedostatečné omezení hranic paměťového bufferu umožněno způsobit pád aplikace, neoprávněně přečíst/zapsat data či spustit kód. Tyto zranitelnosti se týkají produktu AutoCAD 2025 a některých dalších na něm založených [2][3].
Zranitelnost se nachází v produktu:
- AutoCAD; >=2025, <2025.1.1
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-7991 na cve.org, NVD
- CVE-2024-7992 na cve.org, NVD
- CVE-2024-8587 na cve.org, NVD
- CVE-2024-8588 na cve.org, NVD
- CVE-2024-8589 na cve.org, NVD
- CVE-2024-8591 na cve.org, NVD
- CVE-2024-8593 na cve.org, NVD
- CVE-2024-8594 na cve.org, NVD
- CVE-2024-8596 na cve.org, NVD
- CVE-2024-8597 na cve.org, NVD
- CVE-2024-8598 na cve.org, NVD
- CVE-2024-8599 na cve.org, NVD
- CVE-2024-8560 na cve.org, NVD
- CVE-2024-9489 na cve.org, NVD
- CVE-2024-9827 na cve.org, NVD
- CVE-2024-9996 na cve.org, NVD
- CVE-2024-9997 na cve.org, NVD
- CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org
Zranitelnost byla veřejně oznámena 29. 10. 2024.
Odkazy
Za CESNET, z.s.p.o. Michaela Ručková dne 6. 11. 2024.