انتشار وصله برای محصولات آفیس

مایکروسافت توصیه‌نامه امنیتی  برای به‌روزرسانی نرم‌افزارهایی که از کتابخانه‌ Autodesk FBX استفاده می‌کنند، منتشر کرده‌است.

به گزارش افتانا (پایگاه خبری امنیت فناوری اطلاعات)، مایکروسافت به تازگی یک توصیه‌نامه امنیتی جهت به‌روزرسانی نرم‌افزارهای مایکروسافت که از کتابخانه‌ Autodesk FBX استفاده می‌کنند، منتشر کرده‌است.

FBX مخفف Filmbox و یک قالب اختصاصی متعلق به کتابخانه‌ Autodesk است که برای ذخیره‌سازی داده‌های ضبط حرکت به همراه جریان‌های صوتی و ویدیویی استفاده‌می‌شود.

Autodesk که احتمالاً به‌دلیل نرم‌افزار طراحی AutoCAD مشهور است، دارای طیف وسیعی از محصولات برای رندرینگ ویدئو، ساخت بازی و غیره است که شامل فرمت فایل FBX هستند.

این توصیه‌نامه، اصلاحات مربوط به 6 نقص امنیتی مختلف را معرفی می‌کند که با شناسه‌های پشت سر هم CVE-۲۰۲۰-۷۰۸۰ تا CVE-۲۰۲۰-۷۰۸۵ ردیابی می‌شوند.

این آسیب‌پذیری‌ها، به‌دلیل طیف وسیعی از خطاهای برنامه‌نویسی مختلف است که اغلب به کدی که اشیای داده‌ پیچیده را مدیریت می‌کند، وارد می‌شود. این خطاها عبارت‌اند از سرریز بافر، سردرگمی نوع، استفاده پس از آزادسازی، سرریز عددصحیح و اشاره‌گر مقدار هیچ.

به نظر می‌رسد محصولات Microsoft Office ۲۰۱۹ و Office ۳۶۵ ProPlus مایکروسافت از فایل‌های FBX پشتیبانی می‌کنند و کدی که آن فایل‌ها را پردازش می‌کند از Autodesk می‌آید. بنابراین آخرین نسخه‌های Office شامل این 6 آسیب‌پذیری هستند که پنج مورد از آن‌ها به مهاجم اجازه اجرای کد راه‌ دور را می‌دهد. به گفته‌ی مایکروسافت، اجزای ۳D Viewer و Paint ۳D از Windows ۱۰ نیز تحت‌تأثیر این نقص‌ها قرار گرفته‌اند که این محصولات نیز به‌روزرسانی شده‌اند.

یک نقص اجرا کد راه‌دور که زمانی وجود دارد که یک برنامه‌ی آسیب‌پذیر، فایل مخربی را پردازش کند، اغلب بدین معنی است که بازکردن یا پیش نمایش آن فایل به‌راحتی می‌تواند به کلاهبرداران اجازه دهد بر روی رایانه‌ی کاربر، بدافزار نصب کنند. از آنجایی که کاربر هشدارهای معمولی مانند “do you want to download?” یا “this file wants to run a program, are you sure?” را مشاهده نخواهند کرد، بنابراین بازکردن این فایل کاملاً بی‌ضرر به نظر می‌رسد. به عبارت دیگر یک کلاهبردار می‌تواند یک فایل FBX (فایلی که برنامه نیست و قرار نیست برنامه باشد) به کاربر ایمیل کند که این امر ممکن است کاربر را در معرض خطری که مایکروسافت آن را click to run می‌خواند، قرار دهد.

نقص click to run، به اندازه‌ یک نقص امنیتی که می‌تواند از راه دور، حتی زمانی که کسی وارد سیستم نشده‌است، مورد سوءاستفاده قرار گیرد، خطرناک نیست، زیرا لازم است حداقل کاربر وسوسه شود مورد مخرب را مشاهده کند. اما یک حمله‌ click to run از مثلاً یک فایل سند که حاوی ماکروهایی است که باید به عنوان گام دوم پس از بازکردن سند مورد احراز هویت قرار گیرند، بسیار خطرناک‌تر است.

اگرچه ممکن است کاربران تصور کنند هیچ‌گاه یک فایل FBX را باز نخواهند کرد، چرا که بی‌ربط و بی اهمیت است، اما باید توجه داشته‌باشند که:

• کلاهبرداران به‌ندرت یک رایانامه‌ فیشینگ را هم‌زمان ارسال می‌کنند. حتی اگر کلاهبرداران، شرکت کاربر را مستقیماً هدف قرار نمی‌دهند، اما ممکن است پایگاه داده‌ هرزنامه‌ آنها شامل چندین ورودی رایانامه برای هر دامنه‌ شرکتی موجود در لیست باشد. لازم نیست کلاهبرداران همه را فریب دهند؛ آنها می‌توانند هر کسی را هدف قرار دهند و اگر شخصی را فریب دهند، برنده می‌شوند.

• ویندوز به‌طور پیش‌فرض پسوندهای فایل را نشان نمی‌دهد. فایلی به نام something.text.fbx معمولاً به صورت something.text نمایش داده خواهدشد که به صورت فریبنده‌ای ظاهر ایمنی دارد.

بنا به توصیه‌نامه‌ مایکروسافت، هیچ راه‌حل یا فاکتور کاهش‌دهنده‌ای برای این آسیب‌پذیری‌ها شناسایی نشده است و لازم است وصله‌کردن هرچه سریع‌تر صورت پذیرد.

لازم است مشتریان Autodesk نیز محصولات متأثر Autodesk را برای به‌روزرسانی‌های لازم مورد بررسی قرار دهند. لیست Autodesk شامل نسخه‌های مختلف ابزارگان توسعه‌ نرم‌افزار FBX، Maya، Motion Builder، Mudbox، ۳ds Max، Fusion، Revit Flame، Infraworks، Navisworks و Autodesk AutoCAD است.