В Adobe Substance 3D Sampler обнаружены уязвимости, которые позволяют выполнить произвольный код на компьютере пользователя. Проблемы затрагивают версии 6.0.1 и более ранние, работающие на всех платформах. Adobe уже выпустила обновление 6.0.3, которое закрывает эти дыры.
Детали уязвимостей
Всего в бюллетене перечислены десять уязвимостей. Они относятся к трём категориям: переполнение буфера в куче, переполнение буфера в стеке и запись за границы памяти. Причина всех проблем - недостаточная проверка данных при обработке файлов. Если говорить проще, приложение неправильно работает с памятью, когда открывает специально созданный файл, что позволяет злоумышленнику подменить данные и выполнить свой код.
Важная деталь: все уязвимости имеют локальный вектор атаки и требуют взаимодействия пользователя. Это значит, что эксплуатировать их удалённо без участия жертвы нельзя. Атакующий должен убедить пользователя открыть вредоносный файл в Substance 3D Sampler. Такой файл может быть, например, текстурой, 3D-материалом или другим поддерживаемым форматом. После открытия злоумышленник получает возможность выполнить код с правами текущего пользователя.
По шкале CVSS уязвимости получили 7,8 балла из 10. Adobe присвоила им уровень Critical, хотя по количественной шкале это скорее высокий уровень. В любом случае, последствия могут быть серьёзными: от установки вредоносного ПО до кражи данных или захвата системы. Впрочем, важно подчеркнуть, что Adobe не обнаружила признаков эксплуатации этих уязвимостей в реальных атаках. На момент публикации бюллетеня о них никто не сообщал.
Substance 3D Sampler - это инструмент для создания и редактирования 3D-материалов. Его используют художники, геймдизайнеры и специалисты по визуализации. Программа позволяет превращать фотографии в реалистичные текстуры, и для этого она загружает большое количество изображений. Продукт входит в состав Creative Cloud, поэтому им пользуются как индивидуальные авторы, так и крупные студии. Пользователи нередко скачивают файлы из интернета, получают их от коллег или используют стоковые библиотеки. Именно такая особенность делает уязвимости особенно неприятными: достаточно одного неосторожного открытия файла, чтобы поставить под угрозу всю рабочую станцию. При этом даже опытные пользователи не всегда могут отличить вредоносный файл от обычного, так как атакующие часто используют привычные расширения и даже копируют иконки.
Отдельно стоит отметить, что в бюллетене перечислены четыре уязвимости с переполнением буфера в куче, одна со стековым переполнением и пять с записью за границы памяти. Переполнение кучи и стека - разные типы ошибок управления памятью, но в обоих случаях злоумышленник может перезаписать данные и повлиять на ход выполнения программы. Запись за границы памяти также позволяет выйти за пределы выделенной области, а затем использовать это для внедрения вредоносного кода. Все эти проблемы приводят к одной цели - выполнению произвольного кода. Такое разнообразие говорит о том, что недостатки носят системный характер: вероятно, недостаточно проверяются размеры блоков данных при разборе входящих файлов. Разработчикам пришлось исправлять несколько независимых мест в коде, чтобы полностью устранить риск.
Пользователям Substance 3D Sampler настоятельно рекомендуется обновиться до версии 6.0.3. Сделать это просто: через Creative Cloud desktop app, выбрав пункт обновления в меню приложений. Обновление имеет приоритет 3 по классификации Adobe, что означает рекомендованное к применению. Для корпоративных сред предусмотрен вариант развёртывания через Adobe Admin Console. Это позволяет IT-администраторам централизованно обновить все инсталляции.
Несмотря на то, что эксплойтов в дикой природе пока не замечено, откладывать обновление не стоит. В прошлом Adobe часто сталкивалась с атаками на свои продукты через уязвимости в обработке файлов, особенно в таких приложениях, как Reader, Acrobat и Photoshop. Вредоносные файлы могут распространяться через электронную почту, мессенджеры, торренты или сайты с низкой модерацией. Как только становится известно об уязвимости, вероятность появления эксплойта возрастает, потому что исследователи и злоумышленники могут анализировать исправления.
Стоит также напомнить, что выполнение кода в контексте пользователя ограничивает ущерб, если учётная запись не имеет прав администратора. Поэтому в дополнение к обновлению рекомендуем использовать принцип минимальных привилегий и регулярно проверять, что программы запускаются с необходимым, а не максимальным уровнем доступа. Конечно, это не заменяет установку исправлений, но снижает последствия в случае успешной атаки.
Для тех, кто занимается 3D-графикой профессионально, уязвимости в инструментах могут означать не только потерю данных, но и компрометацию клиентских проектов, учётных записей, а также доступ к внутренним сетям студии. Поэтому реакция на подобные бюллетени должна быть такой же, как на критичные обновления операционных систем: обновляться сразу после выхода патча. Adobe не раскрывает детали уязвимостей до тех пор, пока большинство пользователей не установит обновление. Это стандартная практика для защиты от злоумышленников, которые могут использовать опубликованную информацию для создания эксплойтов. Сейчас компания ограничилась ссылкой на CVE-идентификаторы, например CVE-2026-48417 и CVE-2026-48424, но не приводит подробностей об их технической сути. Тем не менее, по косвенным признакам можно предположить, что проблемы связаны с недостаточной валидацией размеров данных при чтении файлов.
Ситуация с Substance 3D Sampler - очередное напоминание о том, что даже нишевые профессиональные инструменты находятся в зоне риска. Атакующие всё чаще нацеливаются на приложения для творческой работы, потому что через них можно получить доступ к ценной интеллектуальной собственности. Встроенная система обновлений Creative Cloud позволяет быстро доставлять исправления, но только если пользователь не отключает автоматические проверки. Рекомендуем проверить настройки и убедиться, что обновления устанавливаются своевременно.
Регулярное обновление всего ПО остаётся ключевой мерой защиты, особенно для программ, которые работают с файлами из внешних источников. Пакет Substance 3D Sampler часто воспринимается как простая утилита, но он обрабатывает сложные бинарные форматы, а значит, требует такого же внимания к безопасности, как более крупные продукты. Безопасность профессионального инструмента напрямую влияет на сохранность результатов труда, поэтому разработчики оперативно выпустили исправление, и теперь задача пользователей - установить его как можно скорее.
Ссылки
