Каталоги
В сервис интегрированы наиболее популярные публичных базы знаний:
- Сертификаты СЗИ - Государственный реестр сертифицированных средств защиты информации опубликованный Федеральной службой по техническому и экспортному контролю, может быть использован для контроля актуальности используемых СЗИ в организации.
- CVE уязвимости - общедоступная публичная база уязвимостей Common Vulnerabilities and Exposures (CVE). Миссия программы CVE заключается в выявлении, определении и каталогизации публично раскрываемых уязвимостей в сфере кибербезопасности. Для каждой уязвимости в каталоге существует одна запись CVE. Уязвимости обнаруживаются, затем присваиваются и публикуются организациями по всему миру, которые сотрудничают с программой CVE. Партнеры публикуют записи CVE для единообразного описания уязвимостей. Специалисты в области информационных технологий и кибербезопасности используют записи CVE, чтобы убедиться, что они обсуждают одну и ту же проблему, и координировать свои усилия по определению приоритетности и устранению уязвимостей.
- БДУ ФСТЭК уязвимости - раздел Уязвимости Банка данных уязвимостей опубликованная Федеральной службой по техническому и экспортному контролю совместно с Государственным научно-исследовательским испытательным институтом проблем технической защиты информации. Одной из целей создания банка данных угроз безопасности информации является объединение специалистов в области информационной безопасности для решения задач повышения защищенности информационных систем.
- НКЦКИ уязвимости - общедоступная публичная база уязвимостей Национального координационного центра по компьютерным инцидентам (НКЦКИ), обеспечивающего координацию деятельности субъектов КИИ по обнаружению, предупреждению, ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты.
- MITRE ATT&CK – Adversarial Tactics, Techniques & Common Knowledge – Тактики, техники и общеизвестные знания о злоумышленниках. Это основанная на реальных наблюдениях база знаний компании Mitre, содержащая описание тактик, приемов и методов, используемых киберпреступниками. База создана в 2013 году и регулярно обновляется, цель – составление структурированной матрицы используемых киберпреступниками приемов, чтобы упростить задачу реагирования на киберинциденты.
- БДУ ФСТЭК и Новая БДУ ФСТЭК – раздел Угрозы Банка данных угроз, опубликованный в 2015 году Федеральной службой по техническому и экспортному контролю и Государственным научно-исследовательским испытательным институтом проблем технической защиты информации, обязателен при моделировании угроз при построении систем защиты персональных данных, критической информационной инфраструктуры, государственных информационных систем.
CVE, БДУ ФСТЭК и НКЦКИ
Каталоги CVE уязвимости, БДУ ФСТЭК уязвимости и НКЦКИ уязвимости предоставляют дополнительный контент и обогащают информацией описание уязвимостей от сканеров в модуле Технические уязвимости.
Интерфейс каталогов идентичен и содержит следующие блоки:
- Метрики:
- Найденные уязвимости – отображает количество найденных в отчетах от сканеров уязвимостей которые связаны с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей);
- Уязвимые хосты – отображает количество хостов на которых обнаружены уязвимости связанные с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей).
- Табличную часть Каталог уязвимостей:
- Фильтр по полю Идентификатор - особенностью данного фильтра является автоматический разбор текста с последующим извлечением из текста идентификаторов. Для этого необходимо вставить произвольный текст с идентификаторами в поле и добавить в фильтр через кнопку плюс;
- Табличную часть с полями для каталогов CVE и БДУ ФСТЭК:
- Идентификатор - id уязвимости в базе уязвимостей;
- Описание - текстовое описание уязвимости;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- CVSS - числовая оценка уязвимости согласно источнику, с указанием даты выявления уязвимости экспертами, оценка отображается цветом согласно оценке CVSS 0.1 – 3.9 Low Зеленый,
4.0 – 6.9 Medium Желтый, 7.0 – 8.9 High Оранжевый, 9.0 – 10.0 Critical Красный.
- Табличную часть с полями для каталогов CVE :
- Дата бюллетеня - информация о дате публикации бюллетеня содержащего уязвимости;
- Идентификатор - id уязвимости в базе уязвимостей;
- Информация - текстовое описание уязвимости;
- Вектор атаки - локальный или сетевой вектор атаки;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- Наличие обновления - - флаг, данный статус отображается если база уязвимостей содержит информацию о наличии обновлений от производителя уязвимого ПО;
- Дата выявления - даты выявления уязвимости экспертами.
- Чекбокс «Только обнаруженные уязвимости» - устанавливает фильтр на табличную часть для отображения только обнаруженные уязвимости.
- Функционал для экспорта всех уязвимостей каталога.
- Для каталога добавляется функционал Варианты отображения:
- Бюллетени - изменяет отображение табличной части на реестр бюллетеней, отображает общее количество уязвимостей в бюллетени в поле Уязвимостей в бюллетени и статус по обнаружению в поле Обнаружено - данный статус отображается если хотя бы одна уязвимость из бюллетеня обнаружена в инфраструктуре.
- Уязвимости.
MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК
Данные из каталогов MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК могут использоваться для контекстного наполнения риска в модуле Риски.
Каждый из указанных каталогов сформирован по собственной схеме данных, которая не соответствует подходу оценки риска, используемому в сервисе. Но в основе своей указанные базы описывают все те же риски информационной безопасности, каждый под своим углом. Поэтому они добавлены в сервис и как отдельные компоненты и как основа для создания рисков, угроз или уязвимостей.
Каталоги могут использоваться в сервисе с целью:
- Облегчения процесса формирования рисков, угроз и уязвимостей;
- Обогащения информации по рискам (угрозам, уязвимостям) созданным в сервисе.
- Взгляда на компанию и оценку рисков через публичные каталоги угроз.
Сервис позволяет установить связь между объектами из каталогов и 3 типами объектов сервиса: угрозами, уязвимостями или рисками безопасности:
- Уязвимости могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK и способами реализации Новой БДУ ФСТЭК.
- Угрозы могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами и последствиями Новой БДУ ФСТЭК.
- Риски могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами, способами реализации и последствиями Новой БДУ ФСТЭК.
Такой широкий выбор возможных связей сделан потому, что объекты из каталогов угроз могут быть или угрозой или уязвимостью в контексте сервиса.
Например, УБИ.004 Угроза аппаратного сброса пароля BIOS из БДУ ФСТЭК в контексте сервиса является уязвимостью, особенностью активов типа Микропрограммное обеспечение, которая может привести к реализации угрозы Несанкционированного локального доступа к BIOS.
В большинстве случаев угрозы из БДУ ФСТЭК и техники из MITRE ATT@CK являются именно уязвимостями, использование которых ведет к реализации угроз безопасности, но бывают и исключения.
Для рисков, угроз и уязвимостей из базы Community связи с каталогами угроз уже установлены.
Связь с каталогом угроз может быть прямой или косвенной. Например, если уязвимость связана с угрозой из БДУ ФСТЭК то и все риски, в составе которых есть данная уязвимость будут автоматически связаны с угрозой из БДУ ФСТЭК.
Каталог БДУ ФСТЭК - это реестр рисков от банка данных угроз безопасности информации ФСТЭК России.
Каждая угроза содержит описание, рекомендации к каким типам активов может быть применена эта угроза, классификация по свойствам информации и вероятные источники угрозы. Дополнительно в блоке Связанные риски указаны связанные риски, а в блоке Каталоги указываются связи с записями из других каталогов.
Каталог Новая БДУ ФСТЭК от банка данных угроз безопасности информации ФСТЭК России содержит:
- матрицу Способы реализации (возникновения угроз) - каждая ячейка которых содержит описание поверхности атаки: группу способов, уровень возможностей нарушителя, возможные реализуемые угрозы, компоненты объектов воздействия, возможные меры защиты;
- Негативные последствия - перечень негативных последствий в классификации ФСТЭК в виде кода и описания;
- Угрозы - реестр угроз с описанием, каждая угроза содержит возможные объекты воздействия и возможные способы реализации угроз;
- Объекты - перечень объектов последствий с описанием и компонентами которые могут входить в состав объекта;
- Компоненты - перечень компонентов объектов воздействия с указанием объектов воздействия на которых они могут располагаться;
- Нарушители - уровни возможностей нарушителей классифицированные по возможностям и компетенции;
- Меры защиты - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя.
Каталог MITRE ATT&CK содержит:
- Матрица - содержит тактики и техники злоумышленника, позволяет на основании тактики или техники создать риск или уязвимость, в матрице указаны связи с рисками в базе Community и с рисками в базе команды;
- Тактики - направления действия нарушителя на том или ином этапе cyberkillchane;
- Техники - конкретные действия нарушителя для достижения цели на конкретном шаге cyberkillchane;
- Контрмеры - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя;
- Преступные группы - описание APT группировок и их особенности и модель поведения;
- Инструменты - ПО используемое нарушителями для вредоносного воздействия.
Матрицы могут использоваться для построения тепловой карты рисков наложенных на матрицы угроз и уязвимостей.
Сертификаты СЗИ
Каталог Сертификаты СЗИ может быть использован в модуле Активы как источник информации для поля Номер сертификата СЗИ. В модуле активов есть возможность вести реестр СЗИ используемых в организации, в свою очередь каталог сертификатов СЗИ позволяет связать актив с каталогом через поле актива Номер сертификата СЗИ.
Каталог Сертификаты СЗИ содержит реестр с информацией о номере сертификата, сроке действия сертификата и сроке поддержки СЗИ. Кроме реестра каталог содержит следующие метрики:
- Имеющиеся СЗИ - отображает количество активов у которых заполнено поле Номер сертификата СЗИ;
- Скоро будут просрочены - отображает количество активов у которых срок действия сертификата меньше 90 календарных дней;
- Просроченные сертификаты - отображает количество активов у которых срок действия сертификата уже истек;
- Истекшая поддержка - отображает количество активов у которых срок действия сертификата уже истек.
Каждая метрика ведёт в реестр активов и выводит список СЗИ, отфильтрованный по соответствующим параметрам.
Нажав на просмотр сертификата, мы увидим карточку сертификата, сервис хранит информацию о следующих данных:
- Номер сертификата;
- Дата внесения в реестр;
- Срок действия сертификата;
- Срок окончания тех. поддержки;
- Наименование средства (шифр);
- Схема сертификации;
- Испытательная лаборатория;
- Орган по сертификации;
- Заявитель;
- Наименования документов соответствия;
- Реквизиты заявителя.
Реестр обновляется автоматически один раз в месяц.
Куда я попал?
CWE-134
CWE-134: Use of Externally-Controlled Format String
Идентификаторы ФСТЭК уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| BDU:2015-02686 | Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить доступность защищаемой информации |
| BDU:2015-02687 | Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить доступность защищаемой информации |
| BDU:2015-02900 | Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-02901 | Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-02902 | Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-02903 | Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-03669 | Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-03670 | Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-03671 | Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-03672 | Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-03673 | Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-03674 | Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-03675 | Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-03676 | Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-03677 | Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-03678 | Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-03679 | Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-04655 | Уязвимость операционной системы SUSE Linux Enterprise, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-04954 | Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-07168 | Уязвимость операционной системы Red Hat Enterprise Linux, позволяющая удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-07906 | Уязвимость операционной системы Red Hat Linux, позволяющая удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-07907 | Уязвимость операционной системы Red Hat Linux, позволяющая удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-09351 | Уязвимость операционной системы Gentoo Linux, позволяющая удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-09371 | Уязвимость операционной системы Gentoo Linux, позволяющая удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-09429 | Уязвимость операционной системы Gentoo Linux, позволяющая удаленному злоумышленнику нарушить доступность защищаемой информации |
| BDU:2015-09466 | Уязвимость операционной системы Gentoo Linux, позволяющая удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-09523 | Уязвимость операционной системы Gentoo Linux, позволяющая удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-09672 | Уязвимость операционной системы Gentoo Linux, позволяющая удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2015-11669 | Уязвимость средства антивирусной защиты Kaspersky Anti-Virus, позволяющая нарушителю вызвать отказ в обслуживании или выполнить произвольный код |
| BDU:2016-00227 | Уязвимость интерпретатора PHP, позволяющая нарушителю выполнить произвольный код |
| BDU:2017-00898 | Уязвимость операционной системы Mac OS X, позволяющая нарушителю выполнить произвольный код |
| BDU:2017-01183 | Уязвимость службы DHCP операционной системы Cisco IOS, позволяющая нарушителю вызвать перезагрузку устройства и отказ в обслуживании |
| BDU:2018-01273 | Уязвимость функции LIBXML_ATTR_FORMAT библиотеки libxml2, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2019-01159 | Уязвимость функции snprintf файловой системы GlusterFS, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-01220 | Уязвимость операционной системы FortiOS, вызванная ошибкой обработки переменной username, позволяющая нарушителю выполнить произвольный код |
| BDU:2019-02341 | Уязвимость встроенного программного обеспечения устройства "Гранит-Навигатор-6.18", связанная с использованием неконтролируемых форматных строк, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-02342 | Уязвимость встроенного программного обеспечения устройства "Гранит-Навигатор-6.18", связанная с использованием неконтролируемых форматных строк, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-03961 | Множественные уязвимости функций cdio_log_handler (modules/access/cdda/access.c) плагина CDDA (libcdda_plugin) и cdio_log_handler, vcd_log_handler (modules/access/vcdx/access.c) плагина VCDX (libvcdx_plugin) программы-медиапроигрывателя VideoLAN VLC,... |
| BDU:2019-04472 | Уязвимость метода Stringunpack интерпретатора языка программирования Ruby, позволяющая нарушителю раскрыть защищаемую информацию |
| BDU:2020-00788 | Уязвимость реализации протокола Cisco Discovery операционной системы Cisco IOS XR, позволяющая нарушителю выполнить произвольный код или вызвать перезагрузку уязвимого устройства |
| BDU:2020-00859 | Уязвимость функции xsltNumberFormatInsertNumbers библиотеки libxslt, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2020-03286 | Уязвимость демона logd операционной системы PAN-OS, позволяющая нарушителю выполнить произвольный код и повысить свои привилегии |
| BDU:2020-03734 | Уязвимость службы Varrcvr операционной системы PAN-OS, позволяющая нарушителю вызвать отказ в обслуживании или выполнить произвольный код с привилегиями root |
| BDU:2021-05111 | Уязвимость модуля аутентификации/авторизации для HTTP-сервера Apache mod_auth_openidc, связанная с использованием неконтролируемых форматных строк, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2021-05251 | Уязвимость плагина веб-менеджмента брокера сообщений RabbitMQ, связанная с недостаточной обработкой форматной строки, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2022-00837 | Уязвимость реализации функции CONNECT системы управления базами данных MariaDB, позволяющая нарушителю выполнить произвольный код |
| BDU:2022-01774 | Уязвимость компонента nmakehlp.c языка программирования Tcl, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании |
| BDU:2022-02695 | Уязвимость функции evdev_log_msg библиотеки libinput реализации протоколов серверов отображения X.Org и Wayland, позволяющая нарушителю выполнить произвольный код с повышенными привилегиями |
| BDU:2022-04350 | Уязвимость микропрограммного обеспечения маршрутизаторов Wi-Fi ASUS RT-AX88U, связанная с использованием неконтролируемых форматных строк, позволяющая нарушителю выполнить произвольный код |
| BDU:2022-04550 | Уязвимость реализации протокола Link Layer Discovery Protocol (LLDP) операционных систем Cisco IOS, Cisco IOS XE и Cisco IOS XR, позволяющая нарушителю вызвать отказ в обслуживании или выполнить произвольный код |
| BDU:2022-04680 | Уязвимость функции sdp_media_set_lattr() программы мгновенного обмена сообщениями Wire Secure Messenger, связанная с использованием неконтролируемых форматных строк, позволяющая нарушителю выполнить произвольный код или вызвать отказ в обслуживании |
| BDU:2022-05545 | Уязвимость систем хранения NAS (Network Attached Storage) NAS326, NAS540, NAS542, связана с использованием неконтролируемых форматных строк, позволяющая нарушителю выполнить произвольный код |
| BDU:2022-06163 | Уязвимость интерпретатора командной строки контроллера доставки приложений FortiADC, позволяющая нарушителю выполнить произвольный код |
| BDU:2022-06813 | Уязвимость службы RTSP микропрограммного обеспечения IP-камер VPort P16-1MP-M12, VPort P16-1MP-M12-IR, VPort P06-1MP-M12, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2022-06868 | Уязвимость функции ConfigFileUpload() веб-интерфейса управления микропрограммного обеспечения маршрутизаторов D-Link DIR-1935, позволяющая нарушителю выполнить произвольный код |
| BDU:2023-00512 | Уязвимость компонента Common Desktop Environment операционной системы Oracle Solaris, позволяющая нарушителю повысить свои привилегии до уровня root |
| BDU:2023-02402 | Уязвимость микропрограммного обеспечения Wi-Fi роутеров Zyxel NBG-418N v2, связанная с использованием неконтролируемых форматных строк, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2023-03108 | Уязвимость исполняемого файла GTWWebMonitor.exe SCADA-системы SCADA Data Gateway (SDG), позволяющая нарушителю вызвать отказ в обслуживании или выполнить произвольный код |
| BDU:2023-03116 | Уязвимость межсетевого экрана веб-приложений FortiWeb, связанная с использованием неконтролируемой форматной строки, позволяющая нарушителю выполнить произвольный код |
| BDU:2023-03509 | Уязвимость демона Fclicense операционной системы FortiOS, позволяющая нарушителю выполнить произвольный код |
| BDU:2023-03889 | Уязвимость режима Cloud Management микропрограммного обеспечения сетевых устройств Zyxel USG FLEX, USG FLEX 50(W), USG20(W)-VPN, ATP и VPN, позволяющая нарушителю выполнить произвольные команды |
| BDU:2023-04054 | Уязвимость интерфейса командной строки операционных систем FortiOS и прокси-сервера для защиты от интернет-атак FortiProxy, связанная с использованием неконтролируемых форматных строк, позволяющая нарушителю выполнить произвольный код |
| BDU:2023-04333 | Уязвимость микропрограммного обеспечения маршрутизаторов Wi-Fi ASUS RT-AC86U и RT-AX56U, позволяющая нарушителю выполнить произвольный код |
| BDU:2023-05168 | Уязвимость функции Validity_check() микропрограммного обеспечения маршрутизаторов TOTOLINK N200RE V5, позволяющая нарушителю выполнить произвольные команды |
| BDU:2023-05252 | Уязвимость прикладного программного интерфейса маршрутизаторов ASUS RT-AX55, RT-AX56U и RT-AC86U, позволяющая нарушителю выполнить произвольный код |
| BDU:2023-05323 | Уязвимость функции iperf файла set_iperf3_cli.cgi прикладного программного интерфейса маршрутизаторов ASUS RT-AX55, RT-AX56U и RT-AC86U, позволяющая нарушителю выполнить произвольный код |
| BDU:2023-05905 | Уязвимость функции Advanced Open VPN микропрограммного обеспечения маршрутизаторов Wi-Fi ASUS RT-AX88U, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации и выполнить произвольный код |
| BDU:2023-07604 | Уязвимость функции yajl_string_decode компонента yajl_encode.c библиотеки JSON YAJL-ruby, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2023-07685 | Уязвимость компонента STST TA в системе безопасности Samsung Teegris операционной системы Android, позволяющая нарушителю выполнить произвольный код |
| BDU:2023-07737 | Уязвимость модулей ввода/вывода программной утилиты для обработки логов Rsyslog, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании |
| BDU:2023-08341 | Уязвимость интерфейса iControl SOAP средств контроля доступа и удаленной аутентификации BIG-IP, позволяющая нарушителю выполнить произвольный код |
| BDU:2023-08653 | Уязвимость функции cm_processChangedConfigMsg микропрограммного обеспечения маршрутизаторов Wi-Fi ASUS RT-AX56U V2 и RT-AC86U, позволяющая нарушителю выполнить произвольный код или вызвать отказ в обслуживании |
| BDU:2023-08764 | Уязвимость демона HTTPSd операционных систем FortiOS, прокси-сервера для защиты от интернет-атак FortiProxy и системы управления учетными данными FortiPAM, позволяющая нарушителю выполнить произвольный код или произвольные команды |
| BDU:2024-01122 | Уязвимость демона fgfmd операционной системы FortiOS, позволяющая нарушителю выполнить произвольный код |
| BDU:2024-01652 | Уязвимость функции Device Insight микропрограммного обеспечения сетевых устройств ZyXEL USG FLEX, USG FLEX 50(W)/USG20(W)-VPN, USG FLEX H и ATP, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-01653 | Уязвимость функции IPSec VPN микропрограммного обеспечения сетевых устройств ZyXEL USG FLEX, USG FLEX 50(W)/USG20(W)-VPN и ATP, позволяющая нарушителю выполнить произвольный код |
| BDU:2024-02009 | Уязвимость программного средства для централизованного управления устройствами Fortinet FortiManager, средства отслеживания и анализа событий безопасности FortiAnalyzer, FortiAnalyzer-BigData и инструмента аналитики и управления безопасностью FortiPo... |
| BDU:2024-03859 | Уязвимость интерпретатора командной строки операционных систем FortiOS, локальной платформы управления FortiSwitchManager и прокси-сервера для защиты от интернет-атак FortiProxy, позволяющая нарушителю выполнить произвольный код |
| BDU:2024-03865 | Уязвимость интерпретатора командной строки операционных систем FortiOS, локальной платформы управления FortiSwitchManager и прокси-сервера для защиты от интернет-атак FortiProxy, позволяющая нарушителю выполнить произвольный код |
| BDU:2024-03867 | Уязвимость интерфейса командной строки операционных систем FortiOS, позволяющая нарушителю выполнить произвольный код путём отправки специально сформированных запросов |
| BDU:2024-05061 | Уязвимость микропрограммного обеспечения промышленного сотового LTE-модема OnCell G3470A-LTE, связанная с использованием неконтролируемых форматных строк при обработке двоичных файлов, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-05724 | Уязвимость HTTP-сервера микропрограммного обеспечения расширителей Wi-Fi диапазона Actiontec WCB6200Q, позволяющая нарушителю выполнить произвольный код |
| BDU:2024-06199 | Уязвимость модуля Packet Forwarding Engine (PFE) операционной системы Juniper Networks Junos OS устройств серии SRX Series, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-06895 | Уязвимость компонента drivers/net/wireless/intel/iwlwifi/iwl-dbg-tlv.c ядра операционной системы Linux, связанная с недостаточной обработкой форматной строки, позволяющая нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в о... |
| BDU:2024-08659 | Уязвимость демона fazsvcd средства отслеживания и анализа событий безопасности FortiAnalyzer, позволяющая нарушителю выполнить произвольный код или команды |
| BDU:2024-10774 | Уязвимость сервера универсальной системы мониторинга Zabbix, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2024-11145 | Уязвимость инструмента измерения пропускной способности сети Iperf3, связанная с неправильной обработкой параметров тестирования переданных серверу в формате json, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-11424 | Уязвимость сценария mainfunction.cgii веб-интерфейса микропрограммного обеспечения маршрутизаторов DrayTek Vigor, позволяющая нарушителю выполнить произвольный код |
| BDU:2025-00740 | Уязвимость операционных систем QuTS hero и QTS сетевых устройств Qnap, связанная с недостаточной обработкой форматной строки, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации c root привилегиями |
| BDU:2025-00741 | Уязвимость операционных систем QuTS hero и QTS сетевых устройств Qnap, связанная с недостаточной обработкой форматной строки, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации c root привилегиями |
| BDU:2025-03647 | Уязвимость компонента GUI операционной системы FortiOS, прокси-сервера для защиты от интернет-атак FortiProxy, системы управления учетными данными FortiPAM, межсетевого экрана веб-приложений FortiWeb и программного обеспечения для безопасного удаленн... |
| BDU:2025-06944 | Уязвимость системы управления службой поддержки FreeScout, существующая из-за неприятия мер по нейтрализации последовательностей CRLF (возврат каретки с переводом строки), позволяющая нарушителю выполнить произвольный код |
| BDU:2025-11544 | Уязвимость сервиса pub.xslt.Transformations:transformSerialXML платформы для интеграции бизнес-процессов IBM WebMethods Integration, позволяющая нарушителю выполнить произвольные команды |
| BDU:2025-12590 | Уязвимость функции InterpretImageFilename() консольного графического редактора ImageMagick, позволяющая нарушителю выполнить произвольный код |
| BDU:2025-14516 | Уязвимость службы SSL VPN операционных систем SonicOS, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-15554 | Уязвимость ядра операционной системы Linux, позволяющая нарушителю вызвать отказ в обслуживании |
Идентификаторы CVE уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| CVE-2010-10017 | WM Downloader 3.1.2.2 Buffer Overflow via Malformed M3U File |
| CVE-2011-10029 | Solar FTP Server <= 2.1.1 Malformed USER Denial of Service |
| CVE-2012-10055 | ComSndFTP v1.3.7 Beta USER Format String RCE |
| CVE-2015-10088 | ayttm proxy.c http_connect format string |
| CVE-2017-0898 | Ruby before 2.4.2, 2.3.5, and 2.2.8 is vulnerable to a malicious format string which contains a precious specifier (*) with a... |
| CVE-2017-12702 | An Externally Controlled Format String issue was discovered in Advantech WebAccess versions prior to V8.2_20170817. String fo... |
| CVE-2017-3859 | A vulnerability in the DHCP code for the Zero Touch Provisioning feature of Cisco ASR 920 Series Aggregation Services Routers... |
| CVE-2017-7519 | In Ceph, a format string flaw was found in the way libradosstriper parses input from user. A user could crash an application... |
| CVE-2019-13318 | This vulnerability allows remote attackers to disclose sensitive information on affected installations of Foxit Reader 9.5.0.... |
| CVE-2019-6840 | A Format String: CWE-134 vulnerability exists in U.motion Server (MEG6501-0001 - U.motion KNX server, MEG6501-0002 - U.motion... |
| CVE-2020-15634 | This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of NETGEAR R6700 rou... |
| CVE-2020-1979 | PAN-OS: A format string vulnerability in PAN-OS log daemon (logd) on Panorama allows local privilege escalation |
| CVE-2020-1992 | PAN-OS on PA-7000 Series: Varrcvr daemon network-based denial of service or privilege escalation |
| CVE-2020-3118 | Cisco IOS XR Software Cisco Discovery Protocol Format String Vulnerability |
| CVE-2021-20307 | Format string vulnerability in panoFileOutputNamesCreate() in libpano13 2.9.20~rc2+dfsg-3 and earlier can lead to read and wr... |
| CVE-2021-32785 | Format string bug in the Redis cache implementation |
| CVE-2021-33535 | WEIDMUELLER: WLAN devices affected by exploitable format string vulnerability |
| CVE-2021-34970 | Foxit PDF Reader print Method Use of Externally-Controlled Format String Information Disclosure Vulnerability |
| CVE-2021-41193 | Use of Externally-Controlled Format String in wire-avs |
| CVE-2022-1215 | A format string vulnerability was found in libinput |
| CVE-2022-24051 | MariaDB CONNECT Storage Engine Format String Privilege Escalation Vulnerability. This vulnerability allows local attackers to... |
| CVE-2022-26392 | Format String vulnerability |
| CVE-2022-26393 | Format String vulnerability |
| CVE-2022-2652 | Use of Externally-Controlled Format String in umlaeute/v4l2loopback |
| CVE-2022-26674 | ASUS RT-AX88U - Format String |
| CVE-2022-26941 | Format string vulnerability in AT+CTGL command in Motorola MTM5000 |
| CVE-2022-3023 | Use of Externally-Controlled Format String in pingcap/tidb |
| CVE-2022-33938 | A format string injection vulnerability exists in the ghome_process_control_packet functionality of Abode Systems, Inc. iota... |
| CVE-2022-34747 | A format string vulnerability in Zyxel NAS326 firmware versions prior to V5.21(AAZF.12)C0 could allow an attacker to achieve... |
| CVE-2022-35244 | A format string injection vulnerability exists in the XCMD getVarHA functionality of abode systems, inc. iota All-In-One Secu... |
| CVE-2022-35874 | Four format string injection vulnerabilities exist in the XCMD testWifiAP functionality of Abode Systems, Inc. iota All-In-On... |
| CVE-2022-35875 | Four format string injection vulnerabilities exist in the XCMD testWifiAP functionality of Abode Systems, Inc. iota All-In-On... |
| CVE-2022-35876 | Four format string injection vulnerabilities exist in the XCMD testWifiAP functionality of Abode Systems, Inc. iota All-In-On... |
| CVE-2022-35877 | Four format string injection vulnerabilities exist in the XCMD testWifiAP functionality of Abode Systems, Inc. iota All-In-On... |
| CVE-2022-35878 | Four format string injection vulnerabilities exist in the UPnP logging functionality of Abode Systems, Inc. iota All-In-One S... |
| CVE-2022-35879 | Four format string injection vulnerabilities exist in the UPnP logging functionality of Abode Systems, Inc. iota All-In-One S... |
| CVE-2022-35880 | Four format string injection vulnerabilities exist in the UPnP logging functionality of Abode Systems, Inc. iota All-In-One S... |
| CVE-2022-35881 | Four format string injection vulnerabilities exist in the UPnP logging functionality of Abode Systems, Inc. iota All-In-One S... |
| CVE-2022-35884 | Four format string injection vulnerabilities exist in the web interface /action/wirelessConnect functionality of Abode System... |
| CVE-2022-35885 | Four format string injection vulnerabilities exist in the web interface /action/wirelessConnect functionality of Abode System... |
| CVE-2022-35886 | Four format string injection vulnerabilities exist in the web interface /action/wirelessConnect functionality of Abode System... |
| CVE-2022-35887 | Four format string injection vulnerabilities exist in the web interface /action/wirelessConnect functionality of Abode System... |
| CVE-2022-40604 | Format String Vulnerability |
| CVE-2022-43619 | This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of D-Link DIR-1935 1... |
| CVE-2022-43869 | IBM Spectrum Scale denial of service |
| CVE-2022-43953 | A use of externally-controlled format string in Fortinet FortiOS version 7.2.0 through 7.2.4, FortiOS all versions 7.0, Forti... |
| CVE-2023-21420 | Use of Externally-Controlled Format String vulnerabilities in STST TA prior to SMR Jan-2023 Release 1 allows arbitrary code e... |
| CVE-2023-21497 | Use of externally-controlled format string vulnerability in mPOS TUI trustlet prior to SMR May-2023 Release 1 allows local at... |
| CVE-2023-2186 | On Triangle MicroWorks' SCADA Data Gateway version <= v5.01.03, an unauthenticated attacker can send a specially crafted broa... |
| CVE-2023-22374 | iControl SOAP vulnerability |
| CVE-2023-22923 | A format string vulnerability in a binary of the Zyxel NBG-418N v2 firmware versions prior to V1.00(AARP.14)C0 could allow a... |
| CVE-2023-23783 | A use of externally-controlled format string in Fortinet FortiWeb version 7.0.0 through 7.0.1, FortiWeb 6.4 all versions allo... |
| CVE-2023-24590 | A format string issue in the Controller 6000's optional diagnostic web interface can be used to write/read from memory, an... |
| CVE-2023-25492 | A valid, authenticated user may be able to trigger a denial of service of the XCC web user interface or other undefined behav... |
| CVE-2023-25815 | Git looks for localized messages in the wrong place |
| CVE-2023-29181 | A use of externally-controlled format string in Fortinet FortiOS 7.2.0 through 7.2.4, 7.0.0 through 7.0.11, 6.4.0 through 6.4... |
| CVE-2023-33011 | A format string vulnerability in the Zyxel ATP series firmware versions 5.10 through 5.36 Patch 2, USG FLEX series firmware v... |
| CVE-2023-35086 | ASUS RT-AX56U V2 & RT-AC86U - Format String -1 |
| CVE-2023-35087 | ASUS RT-AX56U V2 & RT-AC86U - Format String - 2 |
| CVE-2023-36639 | A use of externally-controlled format string in Fortinet FortiProxy versions 7.2.0 through 7.2.4, 7.0.0 through 7.0.10, Forti... |
| CVE-2023-36640 | A use of externally-controlled format string in Fortinet FortiProxy versions 7.2.0 through 7.2.4, 7.0.0 through 7.0.10, 2.0.0... |
| CVE-2023-39238 | ASUS RT-AX55、RT-AX56U_V2 - Format String - 1 |
| CVE-2023-39239 | ASUS RT-AX55、RT-AX56U_V2、RT-AC86U - Format String - 2 |
| CVE-2023-39240 | ASUS RT-AX55、RT-AX56U_V2 - Format String - 3 |
| CVE-2023-40721 | A use of externally-controlled format string vulnerability [CWE-134] in Fortinet FortiOS version 7.4.0 through 7.4.1 and befo... |
| CVE-2023-41349 | ASUS RT-AX88U - externally-controlled format string |
| CVE-2023-41842 | A use of externally-controlled format string vulnerability [CWE-134] in Fortinet FortiManager version 7.4.0 through 7.4.1, ve... |
| CVE-2023-45583 | A use of externally-controlled format string in Fortinet FortiProxy versions 7.2.0 through 7.2.5, 7.0.0 through 7.0.11, 2.0.0... |
| CVE-2023-4746 | TOTOLINK N200RE V5 Validity_check format string |
| CVE-2023-48221 | wire-avs remote format string vulnerability |
| CVE-2023-48784 | A use of externally-controlled format string vulnerability [CWE-134] in FortiOS version 7.4.1 and below, version 7.2.7 and be... |
| CVE-2023-6399 | A format string vulnerability in Zyxel ATP series firmware versions from 4.32 through 5.37 Patch 1, USG FLEX series firmware... |
| CVE-2023-6764 | A format string vulnerability in a function of the IPSec VPN feature in Zyxel ATP series firmware versions from 4... |
| CVE-2024-12805 | A post-authentication format string vulnerability in SonicOS management allows a remote attacker to crash a firewall and pote... |
| CVE-2024-23113 | A use of externally-controlled format string in Fortinet FortiOS versions 7.4.0 through 7.4.2, 7.2.0 through 7.2.6, 7.0.0 thr... |
| CVE-2024-23914 | Use of Externally-Controlled Format String vulnerability in Merge DICOM Toolkit C/C++ on Windows. When MC_Open_Association()... |
| CVE-2024-39529 | Junos OS: SRX Series: If DNS traceoptions are configured in a DGA or tunnel detection scenario specific DNS traffic leads to... |
| CVE-2024-42330 | JS - Internal strings in HTTP headers |
| CVE-2024-45324 | A use of externally-controlled format string vulnerability [CWE-134] in FortiOS version 7.4.0 through 7.4.4, version 7.2.0 th... |
| CVE-2024-45330 | A use of externally-controlled format string in Fortinet FortiAnalyzer versions 7.4.0 through 7.4.3, 7.2.2 through 7.2.5 allo... |
| CVE-2024-4641 | OnCell G3470A-LTE Series: Authenticated Format String Errors |
| CVE-2024-50396 | QTS, QuTS hero |
| CVE-2024-50397 | QTS, QuTS hero |
| CVE-2024-50398 | QTS, QuTS hero |
| CVE-2024-50399 | QTS, QuTS hero |
| CVE-2024-50400 | QTS, QuTS hero |
| CVE-2024-50401 | QTS, QuTS hero |
| CVE-2024-50402 | QTS, QuTS hero |
| CVE-2024-50403 | QTS, QuTS hero |
| CVE-2024-6145 | Actiontec WCB6200Q Cookie Format String Remote Code Execution Vulnerability |
| CVE-2024-9129 | Format String Injection in Zend Server |
| CVE-2025-22482 | Qsync Central |
| CVE-2025-24359 | ASTEVAL Vulnerable to Maliciously Crafted Format Strings Leading to Sandbox Escape |
| CVE-2025-36202 | IBM webMethods Integration code execution |
| CVE-2025-40600 | Use of Externally-Controlled Format String vulnerability in the SonicOS SSL VPN interface allows a remote unauthenticated att... |
| CVE-2025-48388 | FreeScout Has Insufficient Protection Against CRLF-injection |
| CVE-2025-48730 | QTS, QuTS hero |
| CVE-2025-48826 | A format string vulnerability exists in the formPingCmd functionality of Planet WGR-500 v1.3411b190912. A specially crafted s... |
| CVE-2025-52429 | QTS, QuTS hero |
| CVE-2025-53406 | QTS, QuTS hero |
| CVE-2025-53407 | QTS, QuTS hero |
| CVE-2025-53591 | QTS, QuTS hero |
| CVE-2025-55298 | ImageMagick Format String Bug in InterpretImageFilename leads to arbitrary code execution |
| CVE-2025-68949 | n8n has a Webhook Node IP Whitelist Bypass via Partial String Matching |
| CVE-2026-22190 | Panda3D <= 1.10.16 egg-mkfont Format String Information Disclosure |
НКЦКИ уязвимости
Бюллетени НКЦКИ - уязвимости ПО
| Идентификатор | Дата бюллетеня | Описание |
|---|---|---|
| VULN:20230707-5 | 07.07.2023 | Выполнение произвольного кода в Fortinet FortiOS |
| VULN:20230724-47 | 24.07.2023 | Выполнение произвольного кода в Zyxel firewalls and WLAN controllers |
| VULN:20230825-5 | 25.08.2023 | Выполнение произвольного кода в ASUS RT-AX56U V2 и RT-AC86U |
| VULN:20230906-2 | 06.09.2023 | Выполнение произвольного кода в ASUS Routers |
| VULN:20230906-3 | 06.09.2023 | Выполнение произвольного кода в ASUS Routers |
| VULN:20230906-4 | 06.09.2023 | Выполнение произвольного кода в ASUS Routers |
| VULN:20240110-14 | 10.01.2024 | Выполнение произвольного кода в Fortinet FortiProxy |
| VULN:20240209-5 | 09.02.2024 | Выполнение произвольного кода в FortiOS |
| VULN:20240221-22 | 21.02.2024 | Выполнение произвольного кода в ATP series |
| VULN:20240221-31 | 21.02.2024 | Выполнение произвольного кода в FortiOS |
| VULN:20240304-4 | 04.03.2024 | Выполнение произвольного кода в FortiOS |
| VULN:20240318-12 | 18.03.2024 | Выполнение произвольного кода в RUGGEDCOM APE1808 |
| VULN:20240318-28 | 18.03.2024 | Выполнение произвольного кода в RUGGEDCOM APE1808 |
| VULN:20240719-14 | 19.07.2024 | Отказ в обслуживании в Juniper Networks Junos OS on SRX Series |
| VULN:20250929-20 | 29.09.2025 | Отказ в обслуживании в SonicOS SSL VPN |
| VULN:20251001-20 | 01.10.2025 | Отказ в обслуживании в SonicOS SSL VPN |
| VULN:20251124-67 | 24.11.2025 | Отказ в обслуживании в SonicOS SSL VPN |
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.