OrcaSlicer corrige vulnerabilidade de arquivos 3MF que ameaçava dados do usuário

Cobrimos a versão estável anterior em outubro de 2025 e, assim como sua predecessora, esta atualização também corrige alguns bugs e adiciona novos recursos. No entanto, o grande destaque fica para a correção de uma vulnerabilidade de segurança relacionada à importação de arquivos 3MF, que até então não havia sido divulgada.

De acordo com as notas de lançamento no GitHub, a correção impede que arquivos .3mf (que são cada vez mais utilizados em projetos complexos com múltiplas placas ou multicoloridos) possam gravar dados em locais arbitrários do sistema. Esse comportamento poderia, em teoria, permitir a execução de código malicioso.

Na prática, arquivos 3MF funcionam como uma espécie de pasta ZIP. Normalmente, o usuário não interage diretamente com eles como faria com um ZIP comum, já que o fatiador faz toda a extração em segundo plano. É justamente aí que esse tipo de vulnerabilidade, conhecido informalmente como “zip-slip”, se aproveita da situação. SoftFever, principal mantenedor do OrcaSlicer, explicou: “Em termos simples: um agente malicioso poderia criar um arquivo .3mf especialmente preparado que, ao ser aberto no OrcaSlicer, escreveria silenciosamente arquivos controlados pelo atacante em locais arbitrários do disco — fora das áreas onde o OrcaSlicer deveria atuar…”. Ele acrescenta: “apenas abrir um ‘arquivo de projeto’ de uma fonte não confiável já poderia comprometer sua máquina.”

Arquivos desse tipo poderiam, em teoria, ser enviados para repositórios de modelos, aparentar funcionar normalmente como arquivos imprimíveis e explorar o sistema assim que fossem baixados e utilizados. Até o momento, não há relatos de exploração ativa dessa vulnerabilidade.

“O problema foi reportado de forma responsável pelo usuário ‘Zekun Shen’, que merece bastante crédito — ele forneceu uma análise detalhada, uma prova de conceito funcional e até instruções sobre como um arquivo .3mf malicioso poderia ser criado”, continua SoftFever. “Isso facilitou muito a compreensão do problema e permitiu que corrigíssemos rapidamente.”

Como o OrcaSlicer é um fork do Bambu Studio — que, por sua vez, deriva do PrusaSlicer — surge naturalmente a dúvida se essa vulnerabilidade também estaria presente nesses outros fatiadores. Segundo SoftFever, o problema foi herdado no momento em que o código do Bambu Studio foi originalmente bifurcado.

Um representante da Bambu Lab afirmou que “o Bambu Studio não contém essa vulnerabilidade”. Já a Prusa ainda não se pronunciou sobre a existência de algo semelhante em seu fatiador. De toda forma, é provável que outros slicers derivados de versões do Orca anteriores à 2.3.2 precisem incorporar essa correção em seus códigos, caso ainda não o tenham feito.