به گزارش پایگاه تحلیلی خبری بانک و صنعت به نقل از مرکز ماهر، FBX مخفف Filmbox و یک قالب اختصاصی متعلق به کتابخانه ی Autodesk است که برای ذخیره سازی داده های ضبط حرکت به همراه جریان های صوتی و ویدیویی استفاده می شود.
Autodesk که احتمالاً به دلیل نرم افزار طراحی AutoCAD مشهور است، دارای طیف وسیعی از محصولات برای رندرینگ ویدیو، ساخت بازی و غیره که شامل فرمت فایل FBX هستند، است.
این توصیه نامه، اصلاحات مربوط به شش نقص امنیتی مختلف که با شناسه های پشت سر هم CVE-2020-7080 تا CVE-2020-7085 ردیابی می شوند را معرفی می کند.
این آسیب پذیری ها، به دلیل طیف وسیعی از خطاهای برنامه نویسی مختلف است که اغلب به کدی که اشیای داده ی پیچیده را مدیریت می کند، وارد می شود. این خطاها عبارتند از سرریز بافر، سردرگمی نوع، استفاده پس از آزادسازی، سرریز عددصحیح و اشاره گر مقدار هیچ.
به نظر می رسد محصولات Microsoft Office 2019 و Office 365 ProPlus مایکروسافت، از فایل های FBX پشتیبانی می کنند و کدی که آن فایل ها را پردازش می کند از Autodesk می آید. بنابراین آخرین نسخه های Office شامل این شش آسیب پذیری هستند که پنج مورد از آن ها به مهاجم اجازه اجرای کد راه دور را می دهد. به گفته ی مایکروسافت، اجزای 3D Viewer و Paint 3D از Windows 10 نیز تحت تأثیر این نقص ها قرار گرفته اند که این محصولات نیز به روزرسانی شده اند.
یک نقص اجرا کد راه دور که زمانی وجود دارد که یک برنامه ی آسیب پذیر، فایل مخربی را پردازش کند، اغلب بدین معنی است که بازکردن یا پیش نمایش آن فایل به راحتی می تواند به کلاهبرداران اجازه دهد بر روی رایانه ی کاربر، بدافزار نصب کنند. از آنجایی که کاربر هشدارهای معمولی مانند “do you want to download?” یا “this file wants to run a program, are you sure?” را مشاهده نخواهند کرد، بنابراین بازکردن این فایل کاملاً بی ضرر به نظر می رسد. به عبارت دیگر یک کلاهبردار می تواند یک فایل FBX (فایلی که برنامه نیست و قرار نیست برنامه باشد) به کاربر ایمیل کند که این امر ممکن است کاربر را در معرض خطری که مایکروسافت آن را click to run می خواند، قرار دهد.
نقص click to run، به اندازه ی یک نقص امنیتی که می تواند از راه دور، حتی زمانی که کسی وارد سیستم نشده است، مورد سوءاستفاده قرار گیرد، خطرناک نیست، زیرا لازم است حداقل کاربر وسوسه شود مورد مخرب را مشاهده کند. اما یک حمله ی click to run از مثلاً یک فایل سند که حاوی ماکروهایی است که باید به عنوان گام دوم پس از بازکردن سند مورد احراز هویت قرار گیرند، بسیار خطرناک تر است.
اگرچه ممکن است کاربران تصور کنند هیچ گاه یک فایل FBX را باز نخواهند کرد، چرا که بی ربط و بی اهمیت است، اما باید توجه داشته باشند که:
• کلاهبرداران به ندرت یک رایانامه ی فیشینگ را همزمان ارسال می کنند. حتی اگر کلاهبرداران، شرکت کاربر را مستقیماً هدف قرار نمی دهند، اما ممکن است پایگاه داده ی هرزنامه ی آن ها شامل چندین ورودی رایانامه برای هر دامنه ی شرکتی موجود در لیست باشد. لازم نیست کلاهبرداران همه را فریب دهند؛ آن ها می توانند هر کسی را هدف قرار دهند و اگر شخصی را فریب دهند، برنده می شوند.
• ویندوز به طور پیش فرض پسوندهای فایل را نشان نمی دهد. فایلی به نام something.text.fbx معمولاً به صورت something.text نمایش داده خواهد شد که به صورت فریبنده ای ظاهر ایمنی دارد.
بنا به توصیه نامه ی مایکروسافت، هیچ راه حل یا فاکتور کاهش دهنده ای برای این آسیب پذیری ها شناسایی نشده است و لازم است هر چه سریعتر وصله کردن صورت پذیرد.
لازم است مشتریان Autodesk نیز محصولات متأثر Autodesk را برای به روزرسانی های لازم مورد بررسی قرار دهند. لیست Autodesk شامل نسخه های مختلف ابزارگان توسعه ی نرم افزار FBX، Maya، Motion Builder، Mudbox، 3ds Max، Fusion، Revit Flame، Infraworks، Navisworks و Autodesk AutoCAD است.
