OrcaSlicer corrige une faille permettant à des fichiers 3MF malveillants de compromettre les données utilisateur

Nous avions couvert la précédente version stable en octobre 2025 et, comme sa prédécesseure, cette mise à jour apporte elle aussi des corrections de bugs et de nouvelles fonctionnalités. Le point le plus marquant reste toutefois la correction d’une vulnérabilité de sécurité liée à l’importation de fichiers 3MF — un problème qui n’avait pas été divulgué auparavant.

Selon les notes de version sur GitHub, le correctif empêche les fichiers .3mf — de plus en plus utilisés pour des projets complexes multi-plateaux ou multicolores — d’écrire des données à des emplacements arbitraires du système. Dans certains cas, cela aurait pu permettre l’exécution de code malveillant.

Les fichiers 3MF sont, en essence, des sortes d’archives ZIP. L’utilisateur n’interagit jamais directement avec eux comme avec un ZIP classique, puisque le slicer gère l’extraction en arrière-plan. Ce type de vulnérabilité, souvent appelé “zip-slip”, exploite justement ce fonctionnement.

SoftFever, mainteneur principal d’OrcaSlicer, explique : « En termes simples : un acteur malveillant pourrait créer un fichier .3mf spécialement conçu qui, une fois ouvert dans Orca Slicer, écrirait silencieusement des fichiers contrôlés par l’attaquant à des emplacements arbitraires du disque — en dehors des zones que le logiciel est censé manipuler… » Il ajoute : « ouvrir simplement un ‘fichier projet’ provenant d’une source non fiable pourrait compromettre votre machine. »

De tels fichiers pourraient théoriquement être publiés sur des plateformes de modèles 3D, apparaître comme des fichiers d’impression ordinaires et exploiter le système lors de leur téléchargement et utilisation. À ce jour, aucun cas d’exploitation réelle n’a été signalé.

« Le problème nous a été signalé de manière responsable par l’utilisateur ‘Zekun Shen’, qui mérite beaucoup de crédit — il a fourni une analyse détaillée, une preuve de concept fonctionnelle et même des instructions précises pour créer un .3mf malveillant », poursuit SoftFever. « Cela nous a permis de comprendre rapidement l’ampleur du problème et de le corriger efficacement. »

Orca Slicer étant un fork de Bambu Studio — lui-même dérivé de PrusaSlicer — se pose naturellement la question de savoir si cette vulnérabilité est également présente en amont dans ces autres slicers.

Un représentant de Bambu Lab a indiqué que « Bambu Studio ne contient pas cette vulnérabilité ». Nous n’avons pas encore reçu de réponse de Prusa concernant la présence éventuelle d’un problème similaire dans son slicer. De toute façon, il est probable que d’autres slicers dérivés de versions d’Orca antérieures à la 2.3.2 devront intégrer ce correctif dans leur code, s’ils ne l’ont pas déjà fait.