חוקרי אבטחה גילו פגיעות בתוכנת ההדפסה התלת מימדית הפופולרית UltiMaker Cura. בְּעָיָה זוהה מומחי Checkmarx שניתחו את קוד המקור במהלך בדיקות אבטחה כחלק מתוכנית סריקת הפגיעות הפנימית שלהם.
ליקוי אבטחה דווח כ CVE-2024-8374 עוסק ביכולת לבצע קוד שרירותי באמצעות פורמט הקובץ 3MF המשמש למידול והדפסה תלת מימדית. Cura, אחד מפתרונות הקוד הפתוח הפופולריים ביותר לחיתוך מודלים תלת מימדיים, התברר כפגיע להזרקת קוד בעת טעינת קבצי 3MF.
חוקרים מצאו שהבעיה נעוצה בשיטת "convertSavitarNodeToUMNode", שבה אין אימות של הנתונים שהוזנו בעת שימוש בפונקציית "eval". זה מאפשר לתוקפים להחדיר פקודות שרירותיות לקבצי 3MF, אשר מבוצעות אוטומטית כאשר הם נטענים לתוך Cura, אפילו מבלי להתחיל בתהליך החיתוך. לפיכך, המודל המשונה יכול להישאר לגיטימי לחלוטין במראהו, מה שהופך אותו לכלי אידיאלי להתקפות על משתמשים.
מומחים ציינו כי פגיעות זו מסוכנת במיוחד בהקשר של התקפות על שרשראות אספקה. ניתן להפיץ מודלים זדוניים באמצעות מסדי נתונים פופולריים של מודלים תלת-ממדיים כגון Printables ו-Thingiverse, או דרך מאגרי קוד פתוח, מה שיוצר סיכונים עבור מגזרי הביטחון הלאומי ובריאות הציבור.
צוות UltiMaker הגיב במהירות לבעיה ושחרר תיקון תוך 24 שעות. גרסה "5.8.0-beta.1", שפורסמה ב-16 ביולי 2024, הסירה את קריאת "eval" והטמעה עיבוד נתונים מאובטח יותר באמצעות ניתוח בוליאני קפדני.
לדברי חוקרים מ-Checkmarx, האינטראקציה עם צוות UltiMaker הייתה ברמה גבוהה, מה שאפשר לפתור את הבעיה בזמן ולמנוע ניצול אפשרי שלה על ידי תוקפים. הגרסה המשופרת של Cura זמינה כעת לכל המשתמשים, והחברה ממליצה בחום לעדכן לגרסה היציבה "5.8.0", שפורסמה ב-1 באוגוסט 2024.
