CVE-2024-8374

Nome do software vulnerável e versões afetadas:

Versões do slicer UltiMaker Cura de 5.7.0-beta.1 a 5.7.2

Descrição:

O problema decorre do tratamento inadequado da propriedade drop to buildplate em arquivos 3MF, que são arquivos ZIP contendo os dados do modelo. Quando um arquivo 3MF é carregado no Cura, o valor da propriedade drop to buildplate é passado para a função eval() do Python sem a devida sanitização, permitindo que um invasor execute código arbitrário ao criar um arquivo 3MF malicioso. Isso representa um risco significativo, pois os arquivos 3MF são comumente compartilhados por meio de bancos de dados de modelos 3D.

Recomendações:

Para as versões 5.7.0-beta.1 a 5.7.2 do slicer UltiMaker Cura, considere desativar o módulo /plugins/ThreeMFReader.py até que um patch esteja disponível para impedir a injeção de código por meio do leitor do formato 3MF. Como solução alternativa temporária, evite usar a propriedade drop to buildplate em arquivos 3MF para minimizar o risco de exploração. Atualize para uma versão que inclua a correção para este problema assim que ela estiver disponível.