Каталоги
В сервис интегрированы наиболее популярные публичных базы знаний:
- Сертификаты СЗИ - Государственный реестр сертифицированных средств защиты информации опубликованный Федеральной службой по техническому и экспортному контролю, может быть использован для контроля актуальности используемых СЗИ в организации.
- CVE уязвимости - общедоступная публичная база уязвимостей Common Vulnerabilities and Exposures (CVE). Миссия программы CVE заключается в выявлении, определении и каталогизации публично раскрываемых уязвимостей в сфере кибербезопасности. Для каждой уязвимости в каталоге существует одна запись CVE. Уязвимости обнаруживаются, затем присваиваются и публикуются организациями по всему миру, которые сотрудничают с программой CVE. Партнеры публикуют записи CVE для единообразного описания уязвимостей. Специалисты в области информационных технологий и кибербезопасности используют записи CVE, чтобы убедиться, что они обсуждают одну и ту же проблему, и координировать свои усилия по определению приоритетности и устранению уязвимостей.
- БДУ ФСТЭК уязвимости - раздел Уязвимости Банка данных уязвимостей опубликованная Федеральной службой по техническому и экспортному контролю совместно с Государственным научно-исследовательским испытательным институтом проблем технической защиты информации. Одной из целей создания банка данных угроз безопасности информации является объединение специалистов в области информационной безопасности для решения задач повышения защищенности информационных систем.
- НКЦКИ уязвимости - общедоступная публичная база уязвимостей Национального координационного центра по компьютерным инцидентам (НКЦКИ), обеспечивающего координацию деятельности субъектов КИИ по обнаружению, предупреждению, ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты.
- MITRE ATT&CK – Adversarial Tactics, Techniques & Common Knowledge – Тактики, техники и общеизвестные знания о злоумышленниках. Это основанная на реальных наблюдениях база знаний компании Mitre, содержащая описание тактик, приемов и методов, используемых киберпреступниками. База создана в 2013 году и регулярно обновляется, цель – составление структурированной матрицы используемых киберпреступниками приемов, чтобы упростить задачу реагирования на киберинциденты.
- БДУ ФСТЭК и Новая БДУ ФСТЭК – раздел Угрозы Банка данных угроз, опубликованный в 2015 году Федеральной службой по техническому и экспортному контролю и Государственным научно-исследовательским испытательным институтом проблем технической защиты информации, обязателен при моделировании угроз при построении систем защиты персональных данных, критической информационной инфраструктуры, государственных информационных систем.
CVE, БДУ ФСТЭК и НКЦКИ
Каталоги CVE уязвимости, БДУ ФСТЭК уязвимости и НКЦКИ уязвимости предоставляют дополнительный контент и обогащают информацией описание уязвимостей от сканеров в модуле Технические уязвимости.
Интерфейс каталогов идентичен и содержит следующие блоки:
- Метрики:
- Найденные уязвимости – отображает количество найденных в отчетах от сканеров уязвимостей которые связаны с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей);
- Уязвимые хосты – отображает количество хостов на которых обнаружены уязвимости связанные с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей).
- Табличную часть Каталог уязвимостей:
- Фильтр по полю Идентификатор - особенностью данного фильтра является автоматический разбор текста с последующим извлечением из текста идентификаторов. Для этого необходимо вставить произвольный текст с идентификаторами в поле и добавить в фильтр через кнопку плюс;
- Табличную часть с полями для каталогов CVE и БДУ ФСТЭК:
- Идентификатор - id уязвимости в базе уязвимостей;
- Описание - текстовое описание уязвимости;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- CVSS - числовая оценка уязвимости согласно источнику, с указанием даты выявления уязвимости экспертами, оценка отображается цветом согласно оценке CVSS 0.1 – 3.9 Low Зеленый,
4.0 – 6.9 Medium Желтый, 7.0 – 8.9 High Оранжевый, 9.0 – 10.0 Critical Красный.
- Табличную часть с полями для каталогов CVE :
- Дата бюллетеня - информация о дате публикации бюллетеня содержащего уязвимости;
- Идентификатор - id уязвимости в базе уязвимостей;
- Информация - текстовое описание уязвимости;
- Вектор атаки - локальный или сетевой вектор атаки;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- Наличие обновления - - флаг, данный статус отображается если база уязвимостей содержит информацию о наличии обновлений от производителя уязвимого ПО;
- Дата выявления - даты выявления уязвимости экспертами.
- Чекбокс «Только обнаруженные уязвимости» - устанавливает фильтр на табличную часть для отображения только обнаруженные уязвимости.
- Функционал для экспорта всех уязвимостей каталога.
- Для каталога добавляется функционал Варианты отображения:
- Бюллетени - изменяет отображение табличной части на реестр бюллетеней, отображает общее количество уязвимостей в бюллетени в поле Уязвимостей в бюллетени и статус по обнаружению в поле Обнаружено - данный статус отображается если хотя бы одна уязвимость из бюллетеня обнаружена в инфраструктуре.
- Уязвимости.
MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК
Данные из каталогов MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК могут использоваться для контекстного наполнения риска в модуле Риски.
Каждый из указанных каталогов сформирован по собственной схеме данных, которая не соответствует подходу оценки риска, используемому в сервисе. Но в основе своей указанные базы описывают все те же риски информационной безопасности, каждый под своим углом. Поэтому они добавлены в сервис и как отдельные компоненты и как основа для создания рисков, угроз или уязвимостей.
Каталоги могут использоваться в сервисе с целью:
- Облегчения процесса формирования рисков, угроз и уязвимостей;
- Обогащения информации по рискам (угрозам, уязвимостям) созданным в сервисе.
- Взгляда на компанию и оценку рисков через публичные каталоги угроз.
Сервис позволяет установить связь между объектами из каталогов и 3 типами объектов сервиса: угрозами, уязвимостями или рисками безопасности:
- Уязвимости могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK и способами реализации Новой БДУ ФСТЭК.
- Угрозы могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами и последствиями Новой БДУ ФСТЭК.
- Риски могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами, способами реализации и последствиями Новой БДУ ФСТЭК.
Такой широкий выбор возможных связей сделан потому, что объекты из каталогов угроз могут быть или угрозой или уязвимостью в контексте сервиса.
Например, УБИ.004 Угроза аппаратного сброса пароля BIOS из БДУ ФСТЭК в контексте сервиса является уязвимостью, особенностью активов типа Микропрограммное обеспечение, которая может привести к реализации угрозы Несанкционированного локального доступа к BIOS.
В большинстве случаев угрозы из БДУ ФСТЭК и техники из MITRE ATT@CK являются именно уязвимостями, использование которых ведет к реализации угроз безопасности, но бывают и исключения.
Для рисков, угроз и уязвимостей из базы Community связи с каталогами угроз уже установлены.
Связь с каталогом угроз может быть прямой или косвенной. Например, если уязвимость связана с угрозой из БДУ ФСТЭК то и все риски, в составе которых есть данная уязвимость будут автоматически связаны с угрозой из БДУ ФСТЭК.
Каталог БДУ ФСТЭК - это реестр рисков от банка данных угроз безопасности информации ФСТЭК России.
Каждая угроза содержит описание, рекомендации к каким типам активов может быть применена эта угроза, классификация по свойствам информации и вероятные источники угрозы. Дополнительно в блоке Связанные риски указаны связанные риски, а в блоке Каталоги указываются связи с записями из других каталогов.
Каталог Новая БДУ ФСТЭК от банка данных угроз безопасности информации ФСТЭК России содержит:
- матрицу Способы реализации (возникновения угроз) - каждая ячейка которых содержит описание поверхности атаки: группу способов, уровень возможностей нарушителя, возможные реализуемые угрозы, компоненты объектов воздействия, возможные меры защиты;
- Негативные последствия - перечень негативных последствий в классификации ФСТЭК в виде кода и описания;
- Угрозы - реестр угроз с описанием, каждая угроза содержит возможные объекты воздействия и возможные способы реализации угроз;
- Объекты - перечень объектов последствий с описанием и компонентами которые могут входить в состав объекта;
- Компоненты - перечень компонентов объектов воздействия с указанием объектов воздействия на которых они могут располагаться;
- Нарушители - уровни возможностей нарушителей классифицированные по возможностям и компетенции;
- Меры защиты - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя.
Каталог MITRE ATT&CK содержит:
- Матрица - содержит тактики и техники злоумышленника, позволяет на основании тактики или техники создать риск или уязвимость, в матрице указаны связи с рисками в базе Community и с рисками в базе команды;
- Тактики - направления действия нарушителя на том или ином этапе cyberkillchane;
- Техники - конкретные действия нарушителя для достижения цели на конкретном шаге cyberkillchane;
- Контрмеры - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя;
- Преступные группы - описание APT группировок и их особенности и модель поведения;
- Инструменты - ПО используемое нарушителями для вредоносного воздействия.
Матрицы могут использоваться для построения тепловой карты рисков наложенных на матрицы угроз и уязвимостей.
Сертификаты СЗИ
Каталог Сертификаты СЗИ может быть использован в модуле Активы как источник информации для поля Номер сертификата СЗИ. В модуле активов есть возможность вести реестр СЗИ используемых в организации, в свою очередь каталог сертификатов СЗИ позволяет связать актив с каталогом через поле актива Номер сертификата СЗИ.
Каталог Сертификаты СЗИ содержит реестр с информацией о номере сертификата, сроке действия сертификата и сроке поддержки СЗИ. Кроме реестра каталог содержит следующие метрики:
- Имеющиеся СЗИ - отображает количество активов у которых заполнено поле Номер сертификата СЗИ;
- Скоро будут просрочены - отображает количество активов у которых срок действия сертификата меньше 90 календарных дней;
- Просроченные сертификаты - отображает количество активов у которых срок действия сертификата уже истек;
- Истекшая поддержка - отображает количество активов у которых срок действия сертификата уже истек.
Каждая метрика ведёт в реестр активов и выводит список СЗИ, отфильтрованный по соответствующим параметрам.
Нажав на просмотр сертификата, мы увидим карточку сертификата, сервис хранит информацию о следующих данных:
- Номер сертификата;
- Дата внесения в реестр;
- Срок действия сертификата;
- Срок окончания тех. поддержки;
- Наименование средства (шифр);
- Схема сертификации;
- Испытательная лаборатория;
- Орган по сертификации;
- Заявитель;
- Наименования документов соответствия;
- Реквизиты заявителя.
Реестр обновляется автоматически один раз в месяц.
Куда я попал?
CWE-1287
CWE-1287: Improper Validation of Specified Type of Input
Идентификаторы ФСТЭК уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| BDU:2022-02974 | Уязвимость функции обработки пакетов микропрограммного обеспечения устройства управления конференц-связью Cisco TelePresence Collaboration Endpoint (CE) и операционной системы Cisco RoomOS, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2022-06519 | Уязвимость демона протокола маршрутизации Routing Protocols Daemon (RPD) операционных систем Juniper Networks Junos OS, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2023-03899 | Уязвимость утилиты kubelet программного средства управления кластерами виртуальных машин Kubernetes, позволяющая нарушителю настроить определенные модули на работу в "неорганиченном режиме" |
| BDU:2024-02855 | Уязвимость драйверов сетевых устройств Intel PROSet/Wireless WiFi и Intel Killer Wi-Fi, связанная с недостаточной проверкой заданного типа входных данных, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-03000 | Уязвимость демона Routing Protocols Daemon (RPD) операционных систем Juniper Networks Junos OS и Junos OS Evolved, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-06604 | Уязвимость программного обеспечения OpenVPN, связанная с неконтролируемым расхдом ресурсов, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2024-06850 | Уязвимость программного средства реализации сетевой маршрутизации на Unix-подобных системах FRRouting, связанная с неправильной проверкой указанного типа входных данных, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-08469 | Уязвимость модуля Packet Forwarding Engine (PFE) операционной системы Juniper Networks Junos OS, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-08837 | Уязвимость функции Dynamic Access Policies (DAP) микропрограммного обеспечения межсетевых экранов Cisco Adaptive Security Appliance (ASA) и Cisco Firepower Threat Defense (FTD), позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-08889 | Уязвимость функции TLS микропрограммного обеспечения межсетевых экранов Cisco Adaptive Security Appliance (ASA) и Cisco Firepower Threat Defense (FTD), позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-10619 | Уязвимость микропрограммного обеспечения модулей Ethernet серии MELSEC iQ-F и модулей EtherNet/IP, связанная с неправильной проверкой указанного типа входных данных, позволяющая нарушителю вызвать отказ в обслуживании. |
| BDU:2024-10868 | Уязвимость микропрограммного обеспечения встраиваемых сетевых контроллеров управления зданиями ASPECT Enterprise, NEXUS Series, MATRIX Series, связанная с неправильной проверкой указанного типа входных данных, позволяющая нарушителю получить доступ к... |
| BDU:2024-10926 | Уязвимость микропрограммного обеспечения встраиваемых сетевых контроллеров управления зданиями ASPECT Enterprise, NEXUS Series, MATRIX Series, связанная с неправильной проверкой указанного типа входных данных, позволяющая нарушителю получить несанкци... |
| BDU:2024-11025 | Уязвимость микропрограммного обеспечения встраиваемых сетевых контроллеров управления зданиями ASPECT Enterprise, NEXUS Series, MATRIX Series, связанная с неправильной проверкой указанного типа входных данных, позволяющая нарушителю внедрять некоррек... |
| BDU:2025-00685 | Уязвимость прокси-сервера IBM Sterling Secure Proxy, связанная с неправильной проверкой указанного типа входных данных, позволяющая нарушителю выполнить произвольные команды |
| BDU:2025-02589 | Уязвимость кодека PCX Image платформы разработки QNX SDP, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-04668 | Уязвимость компонента Extensions браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю повысить свои привилегии |
| BDU:2025-07204 | Уязвимость системы управления ИТ-инфраструктурой Now Platform, связанная с неправильной проверкой указанного типа входных данных, позволяющая нарушителю выполнить произвольный код |
| BDU:2025-08004 | Уязвимость платформы управления сетями Nokia Single RAN (Single Radio Access Network), связанная с неправильной проверкой указанного типа входных данных, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-08880 | Уязвимость компонента urls.py фреймворка для исследования безопасности мобильных приложений Mobile Security Framework (MobSF), позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-09765 | Уязвимость плагина Confluence приложения для обмена мгновенными сообщениями Mattermost, связанная с неправильной проверкой указанного типа входных данных, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-10329 | Уязвимость компонента Bootstrap Loading операционных систем Cisco IOS XE, позволяющая нарушителю записывать произвольные файлы |
| BDU:2025-10355 | Уязвимость службы удаленного доступа SSL VPN микропрограммного обеспечения межсетевых экранов Cisco Adaptive Security Appliance (ASA) и Cisco Firepower Threat Defense (FTD), позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-10356 | Уязвимость службы удаленного доступа SSL VPN микропрограммного обеспечения межсетевых экранов Cisco Adaptive Security Appliance (ASA) и Cisco Firepower Threat Defense (FTD), позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-10473 | Уязвимость платформ мониторинга событий, обнаружения угроз, аналитики безопасности IBM QRadar Suite и IBM Cloud Pak for Security, связанная с неправильной проверкой указанного типа входных данных, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-11723 | Уязвимость веб-интерфейса операционных систем Cisco IOS, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-13004 | Уязвимость операционных систем Windows, связанная с неправильной проверкой указанного типа входных данных, позволяющая нарушителю повысить свои привилегии |
| BDU:2025-13070 | Уязвимость компонента Windows Local Session Manager операционных систем Windows, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-13081 | Уязвимость компонента Windows Local Session Manager (LSM) операционных систем Windows, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-13085 | Уязвимость компонента Windows Local Session Manager (LSM) операционных систем Windows, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-13095 | Уязвимость компонента Windows Authentication операционных систем Windows, позволяющая нарушителю повысить свои привилегии |
| BDU:2025-13096 | Уязвимость компонента Windows Authentication операционных систем Windows, позволяющая нарушителю повысить свои привилегии |
| BDU:2025-13221 | Уязвимость операционной системы Windows, связанная с неправильной проверкой указанного типа входных данных, позволяющая нарушителю повысить свои привилегии |
| BDU:2025-14810 | Уязвимость плагинов in_http, in_splunk и in_elasticsearch инструмента для сбора и обработки логов Fluent Bit, позволяющая нарушителю раскрыть и модифицировать защищаемую информацию |
| BDU:2025-15122 | Уязвимость технологии виртуализации pKVM (protected Kernel-based Virtual Machine) ядра операционных систем Android, позволяющая нарушителю повысить свои привилегии |
| BDU:2025-16008 | Уязвимость приложения для обмена мгновенными сообщениями Mattermost, связанная с неправильной проверкой указанного типа входных данных, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-16034 | Уязвимость аппаратного модуля ввода-вывода Rockwell Automation FLEX 5000 IO (5094-IF8), связанная с недостаточной проверкой заданного типа входных данных, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-16347 | Уязвимость плагина Mattermost GitHub Plugin приложения для обмена мгновенными сообщениями Mattermost, связанная с недостаточной проверкой заданного типа входных данных, позволяющая нарушителю обойти ограничения безопасности и получить доступ на чтени... |
Идентификаторы CVE уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| CVE-2021-20329 | Specific cstrings input may not be properly validated in the Go Driver |
| CVE-2021-32024 | A remote code execution vulnerability in the BMP image codec of BlackBerry QNX SDP version(s) 6.4 to 7.1 could allow an attac... |
| CVE-2021-43802 | Admin privilege escalation and arbitrary code execution via malicious *.etherpad imports |
| CVE-2021-44694 | Affected devices don't process correctly certain special crafted packets sent to port 102/tcp, which could allow an attacker... |
| CVE-2022-20783 | Cisco TelePresence Collaboration Endpoint and RoomOS Software H.323 Denial of Service Vulnerability |
| CVE-2022-22168 | Junos OS: vMX and MX150: Specific packets might cause a memory leak and eventually an FPC reboot |
| CVE-2022-22228 | Junos OS: IPv6 OAM SRv6 network-enabled devices are vulnerable to Denial of Service (DoS) due to RPD memory leak upon receipt... |
| CVE-2022-31007 | Privilege escalation from administrator in eLabFTW |
| CVE-2022-39369 | Service Hostname Discovery Exploitation in phpCAS |
| CVE-2022-43723 | A vulnerability has been identified in SICAM PAS/PQS (All versions < V7.0), SICAM PAS/PQS (All versions >= 7.0 < V8.06). Affe... |
| CVE-2023-2431 | Bypass of seccomp profile enforcement |
| CVE-2023-2673 | PHOENIX CONTACT: FL/TC MGUARD prone to Improper Input Validation |
| CVE-2023-28799 | A URL parameter during login flow was vulnerable to injection. An attacker could insert a malicious domain in this parameter,... |
| CVE-2023-29126 | Insecure loose comparison in Enel X JuiceBox |
| CVE-2023-32651 | Improper validation of specified type of input for some Intel(R) PROSet/Wireless and Intel(R) Killer(TM) Wi-Fi software befor... |
| CVE-2023-3900 | Improper Validation of Specified Type of Input in GitLab |
| CVE-2023-3904 | Improper Validation of Specified Type of Input in GitLab |
| CVE-2023-3906 | Improper Validation of Specified Type of Input in GitLab |
| CVE-2023-3917 | Improper Validation of Specified Type of Input in GitLab |
| CVE-2023-4522 | Improper Validation of Specified Type of Input in GitLab |
| CVE-2023-47726 | IBM QRadar Suite improper input validation |
| CVE-2023-47727 | IBM QRadar Suite Software file manipulation |
| CVE-2024-12756 | Avaya Spaces HTML injection (HTMLi) Vulnerability |
| CVE-2024-1578 | Multiple MiCard PLUS card reader dropped characters |
| CVE-2024-20408 | A vulnerability in the Dynamic Access Policies (DAP) feature of Cisco Adaptive Security Appliance (ASA) Software and Cisco Fi... |
| CVE-2024-20494 | A vulnerability in the TLS cryptography functionality of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower... |
| CVE-2024-30395 | Junos OS and Junos OS Evolved: A malformed BGP tunnel encapsulation attribute will lead to an rpd crash |
| CVE-2024-35213 | Vulnerability in SGI Image Codec Impacts BlackBerry QNX Software Development Platform (SDP) |
| CVE-2024-40682 | IBM SmartCloud Analytics - Log Analysis denial of service |
| CVE-2024-42189 | HCL BigFix Web Reports might be subject to a Denial of Service (DoS) attack |
| CVE-2024-47261 | 51l3nc3, a member of the AXIS OS Bug Bounty Program, has found that the VAPIX API uploadoverlayimage.cgi did not have suffici... |
| CVE-2024-47262 | Dzmitry Lukyanenka, member of the AXIS OS Bug Bounty Program, has found that the VAPIX API param.cgi was vulnerable to a race... |
| CVE-2024-47504 | Junos OS: SRX5000 Series: Receipt of a specific malformed packet will cause a flowd crash |
| CVE-2024-4879 | Jelly Template Injection Vulnerability in ServiceNow UI Macros |
| CVE-2024-48851 | Remote Code Execution |
| CVE-2024-48858 | Vulnerabilities in TIFF and PCX Image Codecs Impact QNX Software Development Platform |
| CVE-2024-51546 | Credentails Disclosure |
| CVE-2024-51550 | Data Validation / Sanitization |
| CVE-2024-51551 | Default Credentials |
| CVE-2024-54083 | DoS via lack of type validation in Calls |
| CVE-2024-5594 | OpenVPN before 2.6.11 does not santize PUSH_REPLY messages properly which an attacker controlling the server can use to injec... |
| CVE-2024-6298 | remote code execution |
| CVE-2024-8058 | An improper parsing vulnerability was reported in the FileZ client that could allow a crafted file in the FileZ directory to... |
| CVE-2024-8125 | A remote code vulnerability has been discovered in OpenText™ Content Management. |
| CVE-2024-8403 | Denial-of-Service Vulnerability in Ethernet port on MELSEC iQ-F Ethernet Module and EtherNet/IP Module |
| CVE-2024-9404 | Denial-of-Service Vulnerability |
| CVE-2025-0325 | A Guard Tour VAPIX API parameter allowed the use of arbitrary values and can be incorrectly called, allowing an attacker to b... |
| CVE-2025-0476 | Mobile crash via file with specially crafted filename |
| CVE-2025-10207 | Authenticated File Disclosure/Delete |
| CVE-2025-1558 | Denial of Service Via Malicious GIF |
| CVE-2025-20033 | DoS via custom post type for sysconsole plugin readers |
| CVE-2025-20036 | Insufficient Input Validation on Post Props |
| CVE-2025-20086 | Insufficient Input Validation on Post Props |
| CVE-2025-20088 | Insufficient Input Validation on Post Props |
| CVE-2025-20155 | A vulnerability in the bootstrap loading of Cisco IOS XE Software could allow an authenticated, local attacker to write arbit... |
| CVE-2025-20244 | Cisco Secure Firewall Adaptive Security Appliance and Secure Firewall Threat Defense Software Remote Access VPN Web Server De... |
| CVE-2025-20251 | Cisco Secure Firewall Adaptive Security Appliance and Cisco Secure Firewall Threat Defense Software Authenticated Arbitrary F... |
| CVE-2025-20327 | A vulnerability in the web UI of Cisco IOS Software could allow an authenticated, remote attacker with low privileges to caus... |
| CVE-2025-20621 | Webapp crash via object that can't be cast to String in Attachment Field |
| CVE-2025-20630 | Mobile crash via object that can't be cast to String in Attachment Field |
| CVE-2025-20711 | In wlan AP driver, there is a possible out of bounds write due to an incorrect bounds check. This could lead to remote (proxi... |
| CVE-2025-21083 | Insufficient Input Validation on Post Props |
| CVE-2025-24804 | Partial Denial of Service (DoS) in MobSF |
| CVE-2025-24876 | Authentication bypass via authorization code injection in SAP Approuter |
| CVE-2025-25020 | IBM QRadar Suite Software and IBM Cloud Pak for Security improper input validation |
| CVE-2025-25186 | Net::IMAP vulnerable to possible DoS by memory exhaustion |
| CVE-2025-30027 | An ACAP configuration file lacked sufficient input validation, which could allow for arbitrary code execution. This vulnerabi... |
| CVE-2025-32442 | Fastify vulnerable to invalid content-type parsing, which could lead to validation bypass |
| CVE-2025-40910 | Net::IP::LPM version 1.10 for Perl does not properly consider leading zero characters in IP CIDR address strings, which could... |
| CVE-2025-40911 | Net::CIDR::Set versions 0.10 through 0.13 for Perl does not properly consider leading zero characters in IP CIDR address stri... |
| CVE-2025-41395 | Webapp DoS via malicious retrospective post in Playbooks |
| CVE-2025-41650 | Weidmueller: Denial-of-Service Vulnerability in Industrial Ethernet Switches |
| CVE-2025-42916 | Missing input validation vulnerability in SAP S/4HANA (Private Cloud or On-Premise) |
| CVE-2025-42929 | Missing input validation vulnerability in SAP Landscape Transformation Replication Server |
| CVE-2025-46342 | Kyverno vulnerable to bypass of policy rules that use namespace selectors in match statements |
| CVE-2025-4645 | An ACAP configuration file lacked sufficient input validation, which could allow for arbitrary code execution. This vulnerabi... |
| CVE-2025-52883 | Meshtastic-Android vulnerable to forged DMs with no PKC showing up as encrypted |
| CVE-2025-53627 | Meshtastic firmware allows forged DMs with no PKC to show up as encrypted |
| CVE-2025-54525 | Unexpected input to Create Channel Subscription endpoint causes DoS in Mattermost Confluence Plugin |
| CVE-2025-55701 | Windows Authentication Elevation of Privilege Vulnerability |
| CVE-2025-58084 | Mattermost Desktop App crashes when clicking on malformed external URL |
| CVE-2025-58729 | Windows Local Session Manager (LSM) Denial of Service Vulnerability |
| CVE-2025-59257 | Windows Local Session Manager (LSM) Denial of Service Vulnerability |
| CVE-2025-59259 | Windows Local Session Manager (LSM) Denial of Service Vulnerability |
| CVE-2025-59275 | Windows Authentication Elevation of Privilege Vulnerability |
| CVE-2025-59277 | Windows Authentication Elevation of Privilege Vulnerability |
| CVE-2025-59278 | Windows Authentication Elevation of Privilege Vulnerability |
| CVE-2025-61672 | Synapse: Invalid device keys degrade federation functionality |
| CVE-2025-6298 | ACAP applications can gain elevated privileges due to improper input validation, potentially leading to privilege escalation.... |
| CVE-2025-8108 | An ACAP configuration file has improper permissions and lacks input validation, which could potentially lead to privilege esc... |
| CVE-2025-8402 | Nil pointer dereference in bulk import crashes server |
| CVE-2025-9041 | Rockwell Automation FLEX 5000 I/O - Module Fault |
| CVE-2025-9042 | Rockwell Automation FLEX 5000 I/O - Module Fault |
| CVE-2025-9524 | The VAPIX API port.cgi did not have sufficient input validation, which may result in process crashes and impact usability. Th... |
НКЦКИ уязвимости
Бюллетени НКЦКИ - уязвимости ПО
| Идентификатор | Дата бюллетеня | Описание |
|---|---|---|
| VULN:20241014-42 | 14.10.2024 | Отказ в обслуживании в Juniper Junos OS |
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.