Каталоги
В сервис интегрированы наиболее популярные публичных базы знаний:
- Сертификаты СЗИ - Государственный реестр сертифицированных средств защиты информации опубликованный Федеральной службой по техническому и экспортному контролю, может быть использован для контроля актуальности используемых СЗИ в организации.
- CVE уязвимости - общедоступная публичная база уязвимостей Common Vulnerabilities and Exposures (CVE). Миссия программы CVE заключается в выявлении, определении и каталогизации публично раскрываемых уязвимостей в сфере кибербезопасности. Для каждой уязвимости в каталоге существует одна запись CVE. Уязвимости обнаруживаются, затем присваиваются и публикуются организациями по всему миру, которые сотрудничают с программой CVE. Партнеры публикуют записи CVE для единообразного описания уязвимостей. Специалисты в области информационных технологий и кибербезопасности используют записи CVE, чтобы убедиться, что они обсуждают одну и ту же проблему, и координировать свои усилия по определению приоритетности и устранению уязвимостей.
- БДУ ФСТЭК уязвимости - раздел Уязвимости Банка данных уязвимостей опубликованная Федеральной службой по техническому и экспортному контролю совместно с Государственным научно-исследовательским испытательным институтом проблем технической защиты информации. Одной из целей создания банка данных угроз безопасности информации является объединение специалистов в области информационной безопасности для решения задач повышения защищенности информационных систем.
- НКЦКИ уязвимости - общедоступная публичная база уязвимостей Национального координационного центра по компьютерным инцидентам (НКЦКИ), обеспечивающего координацию деятельности субъектов КИИ по обнаружению, предупреждению, ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты.
- MITRE ATT&CK – Adversarial Tactics, Techniques & Common Knowledge – Тактики, техники и общеизвестные знания о злоумышленниках. Это основанная на реальных наблюдениях база знаний компании Mitre, содержащая описание тактик, приемов и методов, используемых киберпреступниками. База создана в 2013 году и регулярно обновляется, цель – составление структурированной матрицы используемых киберпреступниками приемов, чтобы упростить задачу реагирования на киберинциденты.
- БДУ ФСТЭК и Новая БДУ ФСТЭК – раздел Угрозы Банка данных угроз, опубликованный в 2015 году Федеральной службой по техническому и экспортному контролю и Государственным научно-исследовательским испытательным институтом проблем технической защиты информации, обязателен при моделировании угроз при построении систем защиты персональных данных, критической информационной инфраструктуры, государственных информационных систем.
Каталог Справка открывает раздел документации по каталогам.
Уязвимости CVE, БДУ ФСТЭК и НКЦКИ
Каталоги CVE уязвимости, БДУ ФСТЭК уязвимости и НКЦКИ уязвимости предоставляют дополнительный контент и обогащают информацией описание уязвимостей от сканеров в модуле Технические уязвимости.
Интерфейс каталогов идентичен и содержит следующие блоки:
- Метрики:
- Найденные уязвимости – отображает количество найденных в отчетах от сканеров уязвимостей которые связаны с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей);
- Уязвимые хосты – отображает количество хостов на которых обнаружены уязвимости связанные с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей).
- Табличную часть Каталог уязвимостей:
- Фильтр по полю Идентификатор - особенностью данного фильтра является автоматический разбор текста с последующим извлечением из текста идентификаторов. Для этого необходимо вставить произвольный текст с идентификаторами в поле и добавить в фильтр через кнопку плюс;
- Табличную часть с полями для каталогов CVE и БДУ ФСТЭК:
- Идентификатор - id уязвимости в базе уязвимостей;
- Описание - текстовое описание уязвимости;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- CVSS - числовая оценка уязвимости согласно источнику, с указанием даты выявления уязвимости экспертами, оценка отображается цветом согласно оценке CVSS 0.1 – 3.9 Low Зеленый,
4.0 – 6.9 Medium Желтый, 7.0 – 8.9 High Оранжевый, 9.0 – 10.0 Critical Красный.
- Табличную часть с полями для каталогов CVE :
- Дата бюллетеня - информация о дате публикации бюллетеня содержащего уязвимости;
- Идентификатор - id уязвимости в базе уязвимостей;
- Информация - текстовое описание уязвимости;
- Вектор атаки - локальный или сетевой вектор атаки;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- Наличие обновления - - флаг, данный статус отображается если база уязвимостей содержит информацию о наличии обновлений от производителя уязвимого ПО;
- Дата выявления - даты выявления уязвимости экспертами.
- Чекбокс «Только обнаруженные уязвимости» - устанавливает фильтр на табличную часть для отображения только обнаруженные уязвимости.
- Функционал для экспорта всех уязвимостей каталога.
- Для каталога добавляется функционал Варианты отображения:
- Бюллетени - изменяет отображение табличной части на реестр бюллетеней, отображает общее количество уязвимостей в бюллетени в поле Уязвимостей в бюллетени и статус по обнаружению в поле Обнаружено - данный статус отображается если хотя бы одна уязвимость из бюллетеня обнаружена в инфраструктуре.
- Уязвимости.
MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК
Данные из каталогов MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК могут использоваться для контекстного наполнения риска в модуле Риски.
Каждый из указанных каталогов сформирован по собственной схеме данных, которая не соответствует подходу оценки риска, используемому в сервисе. Но в основе своей указанные базы описывают все те же риски информационной безопасности, каждый под своим углом. Поэтому они добавлены в сервис и как отдельные компоненты и как основа для создания рисков, угроз или уязвимостей.
Каталоги могут использоваться в сервисе с целью:
- Облегчения процесса формирования рисков, угроз и уязвимостей;
- Обогащения информации по рискам (угрозам, уязвимостям) созданным в сервисе.
- Взгляда на компанию и оценку рисков через публичные каталоги угроз.
Сервис позволяет установить связь между объектами из каталогов и 3 типами объектов сервиса: угрозами, уязвимостями или рисками безопасности:
- Уязвимости могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK и способами реализации Новой БДУ ФСТЭК.
- Угрозы могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами и последствиями Новой БДУ ФСТЭК.
- Риски могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами, способами реализации и последствиями Новой БДУ ФСТЭК.
Такой широкий выбор возможных связей сделан потому, что объекты из каталогов угроз могут быть или угрозой или уязвимостью в контексте сервиса.
Например, УБИ.004 Угроза аппаратного сброса пароля BIOS из БДУ ФСТЭК в контексте сервиса является уязвимостью, особенностью активов типа Микропрограммное обеспечение, которая может привести к реализации угрозы Несанкционированного локального доступа к BIOS.
В большинстве случаев угрозы из БДУ ФСТЭК и техники из MITRE ATT@CK являются именно уязвимостями, использование которых ведет к реализации угроз безопасности, но бывают и исключения.
Для рисков, угроз и уязвимостей из базы Community связи с каталогами угроз уже установлены.
Связь с каталогом угроз может быть прямой или косвенной. Например, если уязвимость связана с угрозой из БДУ ФСТЭК то и все риски, в составе которых есть данная уязвимость будут автоматически связаны с угрозой из БДУ ФСТЭК.
Каталог БДУ ФСТЭК - это реестр рисков от банка данных угроз безопасности информации ФСТЭК России.
Каждая угроза содержит описание, рекомендации к каким типам активов может быть применена эта угроза, классификация по свойствам информации и вероятные источники угрозы. Дополнительно в блоке Связанные риски указаны связанные риски, а в блоке Каталоги указываются связи с записями из других каталогов.
Каталог Новая БДУ ФСТЭК от банка данных угроз безопасности информации ФСТЭК России содержит:
- матрицу Способы реализации (возникновения угроз) - каждая ячейка которых содержит описание поверхности атаки: группу способов, уровень возможностей нарушителя, возможные реализуемые угрозы, компоненты объектов воздействия, возможные меры защиты;
- Негативные последствия - перечень негативных последствий в классификации ФСТЭК в виде кода и описания;
- Угрозы - реестр угроз с описанием, каждая угроза содержит возможные объекты воздействия и возможные способы реализации угроз;
- Объекты - перечень объектов последствий с описанием и компонентами которые могут входить в состав объекта;
- Компоненты - перечень компонентов объектов воздействия с указанием объектов воздействия на которых они могут располагаться;
- Нарушители - уровни возможностей нарушителей классифицированные по возможностям и компетенции;
- Меры защиты - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя.
Каталог MITRE ATT&CK содержит:
- Матрица - содержит тактики и техники злоумышленника, позволяет на основании тактики или техники создать риск или уязвимость, в матрице указаны связи с рисками в базе Community и с рисками в базе команды;
- Тактики - направления действия нарушителя на том или ином этапе cyberkillchane;
- Техники - конкретные действия нарушителя для достижения цели на конкретном шаге cyberkillchane;
- Контрмеры - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя;
- Преступные группы - описание APT группировок и их особенности и модель поведения;
- Инструменты - ПО используемое нарушителями для вредоносного воздействия.
Матрицы могут использоваться для построения тепловой карты рисков наложенных на матрицы угроз и уязвимостей.
Сертификаты СЗИ
Каталог Сертификаты СЗИ может быть использован в модуле Активы как источник информации для поля Номер сертификата СЗИ. В модуле активов есть возможность вести реестр СЗИ используемых в организации, в свою очередь каталог сертификатов СЗИ позволяет связать актив с каталогом через поле актива Номер сертификата СЗИ.
Каталог Сертификаты СЗИ содержит реестр с информацией о номере сертификата, сроке действия сертификата и сроке поддержки СЗИ. Кроме реестра каталог содержит следующие метрики:
- Имеющиеся СЗИ - отображает количество активов у которых заполнено поле Номер сертификата СЗИ;
- Скоро будут просрочены - отображает количество активов у которых срок действия сертификата меньше 90 календарных дней;
- Просроченные сертификаты - отображает количество активов у которых срок действия сертификата уже истек;
- Истекшая поддержка - отображает количество активов у которых срок действия сертификата уже истек.
Каждая метрика ведёт в реестр активов и выводит список СЗИ, отфильтрованный по соответствующим параметрам.
Нажав на просмотр сертификата, мы увидим карточку сертификата, сервис хранит информацию о следующих данных:
- Номер сертификата;
- Дата внесения в реестр;
- Срок действия сертификата;
- Срок окончания тех. поддержки;
- Наименование средства (шифр);
- Схема сертификации;
- Испытательная лаборатория;
- Орган по сертификации;
- Заявитель;
- Наименования документов соответствия;
- Реквизиты заявителя.
Реестр обновляется автоматически один раз в месяц.
Куда я попал?
CWE-248
Uncaught Exception
An exception is thrown from a function, but it is not caught.
| Тип уязвимости: | Не зависит от других уязвимостей |
Идентификаторы ФСТЭК уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| BDU:2019-00178 | Уязвимость программного обеспечения программируемого логического контроллера Siemens Sinumerik, связанная с ошибкой обработки сетевых пакетов VNC-сервером, позволяющая нарушителю вызвать отказ в обслуживании VNC-сервера |
| BDU:2019-00179 | Уязвимость программного обеспечения программируемого логического контроллера Siemens Sinumerik, связанная с ошибкой обработки исключениий, позволяющая нарушителю читать произвольные записи или выполнять произвольный код в режиме ядра |
| BDU:2019-00180 | Уязвимость программного обеспечения программируемого логического контроллера Siemens Sinumerik, связанная с ошибкой обработки исключений, позволяющая нарушителю вызвать отказ в обслуживании встроенного межсетевого экрана или выполнить произвольный ко... |
| BDU:2019-02043 | Уязвимость микропрограммного обеспечения программируемого логического контроллера Modicon, связанная с ошибками обработки исключительных ситуаций, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-02048 | Уязвимость микропрограммного обеспечения программируемого логического контроллера Modicon, связанная с необработанным исключением, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-02050 | Уязвимость микропрограммного обеспечения программируемого логического контроллера Modicon, связанная с необработанным исключением, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-02051 | Уязвимость микропрограммного обеспечения программируемого логического контроллера Modicon, связанная с необработанным исключением, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-02052 | Уязвимость микропрограммного обеспечения программируемого логического контроллера Modicon, связанная с необработанным исключением, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-02109 | Уязвимость микропрограммного обеспечения программируемого логического контроллера Modicon, связанная с необработанным исключением, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-03888 | Уязвимость компонента Serialization программных платформ Oracle Java SE и Oracle Java SE Embedded, позволяющая нарушителю вызвать частичный отказ в обслуживании |
| BDU:2019-03890 | Уязвимость компонента JAXP программных платформ Oracle Java SE и Oracle Java SE Embedded, позволяющая нарушителю вызвать частичный отказ в обслуживании |
| BDU:2019-03896 | Уязвимость компонента Scripting программных платформ Oracle Java SE и Java SE Embedded, позволяющая нарушителю оказать воздействие на целостность защищаемой информации или вызвать частичный отказ в обслуживании |
| BDU:2019-03901 | Уязвимость компонента JAXP программных платформ Oracle Java SE и Oracle Java SE Embedded, позволяющая нарушителю вызвать частичный отказ в обслуживании |
| BDU:2019-03910 | Уязвимость компонента Concurrency программных платформ Oracle Java SE и Oracle Java SE Embedded, позволяющая нарушителю вызвать частичный отказ в обслуживании |
| BDU:2019-04068 | Уязвимость утилиты контроля целостности fly-admin-int-check операционной системы Astra Linux, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-04188 | Уязвимость микропрограммного обеспечения контроллеров Modicon, связанная с отсутствием проверки целостности обновления встроенного программного обеспечения, позволяющая нарушителю загрузить обновление встроенного программного обеспечения без образа п... |
| BDU:2019-04189 | Уязвимость микропрограммного обеспечения контроллеров Modicon, связанная с отсутствием проверки целостности обновления встроенного программного обеспечения, позволяющая нарушителю загрузить обновление встроенного программного обеспечения с отсутствую... |
| BDU:2019-04190 | Уязвимость микропрограммного обеспечения контроллеров Modicon, связанная с отсутствием проверки целостности обновления встроенного программного обеспечения, позволяющая нарушителю загрузить обновление встроенного программного обеспечения с пустым обр... |
| BDU:2019-04191 | Уязвимость микропрограммного обеспечения контроллеров Modicon, связанная с отсутствием проверки целостности обновления встроенного программного обеспечения, позволяющая нарушителю загрузить обновление встроенного программного обеспечения с поврежденн... |
| BDU:2019-04192 | Уязвимость микропрограммного обеспечения контроллеров Modicon, связанная с отсутствием проверки версии обновления встроенного программного обеспечения, позволяющая нарушителю загрузить обновление встроенного программного обеспечения не поддерживаемой... |
| BDU:2019-04193 | Уязвимость микропрограммного обеспечения контроллеров Modicon, связанная с ошибкой обработки данных REST API, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-04218 | Уязвимость программного обеспечения DIGSI 5 и устройств SIPROTEC 5, связанная с недостаточной проверкой вводимых данных, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2020-02364 | Уязвимость Java-библиотеки Nimbus JOSE + JWT, связанная с недостаточной проверкой необычных или исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании или получить несанкционированный доступ к защищаемой информации |
| BDU:2020-05166 | Уязвимость системы обработки вызовов Cisco Unified Communications Manager IM Presence Service (Unified CM IMP), связанная с ошибкой обработки исключений, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2020-05332 | Уязвимость системы автоматизированного проектирования Intel Quartus Prime для Intel(R) 50GbE IP Core, связанная с необработанным исключением, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2021-00819 | Уязвимость драйвера графических систем Intel Graphics Drivers, связанная с ошибкой обработки исключениий, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2021-03337 | Уязвимость cлужбы AutoBuild платформы для приложений диспетчерского управления AVEVA System Platform, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2021-04488 | Уязвимость реализации протокола TCP стеков TCP/IP NicheLite и InterNiche, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2022-02216 | Уязвимость реализации стека протоколов TCP/IP системы обеспечения безопасности электронной почты Cisco Email Security Appliance, интернет-шлюзов Cisco Web Security Appliance и устройства управления защитой контента Cisco Secure Email and Web Manager... |
| BDU:2022-04152 | Уязвимость реализации протокола BACnet микропрограммного обеспечения модулей станций автоматизации Desigo DXR2, PXC3, PXC4, PXC5, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2022-04549 | Уязвимость операционной системы Cisco IOS маршрутизаторов Cisco 1000 Series Connected Grid Routers, существующая из-за недостаточной проверки входных данных, позволяющая нарушителю вызвать перезагрузку устройства или вызвать отказ в обслуживании |
| BDU:2022-04583 | Уязвимость системы BIOS микропрограммного обеспечения процессоров Intel, позволяющая нарушителю повысить свои привилегии и выполнить произвольный код |
| BDU:2022-05188 | Уязвимость компонента /net/nfc/netlink.c ядра операционной системы Linux, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2022-06569 | Уязвимость пакета keylime операционной системы Red Hat Enterprise Linux, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2023-05159 | Уязвимость компонента Libraries программной платформы Oracle Java SE и виртуальной машины Oracle GraalVM Enterprise Edition, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2023-05361 | Уязвимость Java-библиотеки анализа, извлечения и управления данными в документах HTML jsoup, связанная с недостатками в обработке исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2023-05392 | Уязвимость библиотеки Fast DDS, связанная с ошибкой обработки исключений, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2023-05393 | Уязвимость библиотеки Fast DDS , связанная с недостатками в обработке исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2023-06148 | Уязвимость компонентов neighmgrd и nlmanager сетевой операционной системы NVIDIA Cumulus Linux, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-01316 | Уязвимость фильтра управления пакетами на основе потоков TC flower программного многоуровневого коммутатора Open vSwitch (OvS), позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-02161 | Уязвимость драйверов сетевых устройств Intel PROSet/Wireless WiFi и Intel Killer Wi-Fi, связанная с ошибкой обработки исключениий, позволяющая нарушителю вызвать в отказ в обслуживании |
| BDU:2024-02399 | Уязвимость функции gnutls_x509_trust_list_verify_crt2() библиотеки безопасности транспортного уровня GnuTLS, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-02483 | Уязвимость реализации прикладного программного интерфейса поисковой системы Elasticsearch, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-02656 | Уязвимость операционных систем Cisco IOS сетевых устройств Cisco Catalyst серии 6000, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-02906 | Уязвимость прокси-сервера Envoy, связанная с не перехваченным исключением, позволяющая нарушителю вызвать аварийное завершение работы приложения |
| BDU:2024-05954 | Уязвимость компонента AdminAPI панели управления программного средства для интеграции приложений IBM App Connect Enterprise, связанная с ошибкой обработки исключениий, позволяющая нарушителю вызвать в отказ в обслуживании |
| BDU:2024-09124 | Уязвимость веб-консоли Intel Raid Web Console, связанная с ошибкой обработки исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-02768 | Уязвимость микропрограммного обеспечения серверных плат Intel Server Board M50FCP и Intel Server Board D50DNP, связанная с ошибкой обработки исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-04475 | Уязвимость функции dce110_disable_stream() модуля drivers/gpu/drm/amd/display/dc/dce110/dce110_hw_sequencer.c - драйвера поддержки инфраструктуры прямого рендеринга (DRI) видеокарт AMD ядра операционной системы Linux, позволяющая нарушителю вызвать о... |
| BDU:2025-04963 | Уязвимость реализации протокола SNMP операционных систем Cisco IOS и IOS XE, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-04965 | Уязвимость реализации протокола SNMP операционных систем Cisco IOS, IOS XE и Cisco IOS XR, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-05329 | Уязвимость программного обеспечения для интеграции старых и новых технологий IBM EntireX, связанная с ошибкой обработки исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-06210 | Уязвимость утилиты для обработки фрагментов Mongos системы управления базами данных MongoDB, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-10620 | Уязвимость функции ThrowException() модели разрешений программной платформы Node.js, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-10948 | Уязвимость модуля аутентификации и авторизации для Apache 2.x HTTP server Mod_auth_openidc, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-11321 | Уязвимость интерфейса v1/completions библиотеки для работы с большими языковыми моделями (LLM) vLLM, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-11672 | Уязвимость SCADA-системы "ЭНТЕК", связанная с недостаточной обработкой исключений, позволяющая нарушителю вызвать отказ в обслуживании REST API сервиса |
| BDU:2025-11971 | Уязвимость микрокода процессоров Intel Microcode, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-12835 | Уязвимость метода torch.Tensor.random_() фреймворка машинного обучения PyTorch, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-12836 | Уязвимость интерфейса torch.cummin фреймворка машинного обучения PyTorch, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-13068 | Уязвимость пакетов программ Microsoft Office и 365 Apps for Enterprise, связанная с ошибкой обработки исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-14615 | Уязвимость фреймворка для создания высокопроизводительных веб-приложений Qwik, связанная с ошибкой обработки исключениий, позволяющая нарушителю вызвать в отказ в обслуживании |
| BDU:2025-15937 | Уязвимость драйвера Wlan AP Driver микропрограммного обеспечения микросхем MediaTek, позволяющая нарушителю раскрыть защищаемую информацию |
| BDU:2025-15938 | Уязвимость драйвера Wlan AP Driver микропрограммного обеспечения микросхем MediaTek, позволяющая нарушителю раскрыть защищаемую информацию |
| BDU:2026-00094 | Уязвимость библиотеки mcp (MCP Python SDK), связанная с ошибкой обработки исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2026-00095 | Уязвимость библиотеки mcp (MCP Python SDK), связанная с ошибкой обработки исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2026-01416 | Уязвимость функции imx_pcie_suspend_noirq() модуля drivers/pci/controller/dwc/pci-imx6.c драйвера поддержки устройств PCI ядра операционной системы Linux, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2026-01834 | Уязвимость микропрограммного обеспечения контроллеров Intel Ethernet серии E810, связанная с недостаточной обработкой исключений, позволяющая нарушителю вызвать отказ в обслуживании |
Идентификаторы CVE уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| CVE-2013-10065 | Sysax Multi-Server <= 6.10 SSHD Key Exchange DoS |
| CVE-2016-10363 | Logstash versions prior to 2.3.3, when using the Netflow Codec plugin, a remote attacker crafting malicious Netflow v5, Netfl... |
| CVE-2018-11464 | A vulnerability has been identified in SINUMERIK 828D V4.7 (All versions < V4.7 SP6 HF1), SINUMERIK 840D sl V4.7 (All version... |
| CVE-2018-11465 | A vulnerability has been identified in SINUMERIK 808D V4.7 (All versions), SINUMERIK 808D V4.8 (All versions), SINUMERIK 828D... |
| CVE-2018-11466 | A vulnerability has been identified in SINUMERIK 808D V4.7 (All versions), SINUMERIK 808D V4.8 (All versions), SINUMERIK 828D... |
| CVE-2019-10917 | A vulnerability has been identified in SIMATIC PCS 7 V8.0 and earlier (All versions), SIMATIC PCS 7 V8.1 (All versions < V8.1... |
| CVE-2019-10931 | A vulnerability has been identified in All other SIPROTEC 5 device types with CPU variants CP300 and CP100 and the respective... |
| CVE-2019-6575 | A vulnerability has been identified in SIMATIC CP 443-1 OPC UA (All versions), SIMATIC ET 200SP Open Controller CPU 1515SP PC... |
| CVE-2019-6809 | A CWE-248: Uncaught Exception vulnerability exists in Modicon M580 (firmware versions prior to V2.90), Modicon M340 (firmware... |
| CVE-2019-6828 | A CWE-248: Uncaught Exception vulnerability exists Modicon M580 (firmware version prior to V2.90), Modicon M340 (firmware ver... |
| CVE-2019-6829 | A CWE-248: Uncaught Exception vulnerability exists in Modicon M580 (firmware version prior to V2.90) and Modicon M340 (firmwa... |
| CVE-2019-6830 | A CWE-248: Uncaught Exception vulnerability exists IN Modicon M580 all versions prior to V2.80, which could cause a possible... |
| CVE-2019-7474 | A vulnerability in SonicWall SonicOS and SonicOSv, allow authenticated read-only admin to leave the firewall in an unstable s... |
| CVE-2020-10292 | Service DoS through arbitrary pointer dereferencing on KUKA simulator |
| CVE-2020-10604 | In OSIsoft PI System multiple products and versions, a remote, unauthenticated attacker could crash PI Network Manager servic... |
| CVE-2020-14348 | It was found in AMQ Online before 1.5.2 that injecting an invalid field to a user's AddressSpace configuration of the user na... |
| CVE-2020-15796 | A vulnerability has been identified in SIMATIC ET 200SP Open Controller (incl. SIPLUS variants) (V20.8), SIMATIC S7-1500 Soft... |
| CVE-2020-27121 | Cisco Unified Communications Manager IM and Presence Service Denial of Service Vulnerability |
| CVE-2020-5129 | A vulnerability in the SonicWall SMA1000 HTTP Extraweb server allows an unauthenticated remote attacker to cause HTTP server... |
| CVE-2020-6019 | Valve's Game Networking Sockets prior to version v1.2.0 improperly handles inlined statistics messages in function CConnectio... |
| CVE-2021-25971 | Camaleon CMS - SVG File Upload Creates DoS for Media Upload Feature |
| CVE-2021-3038 | GlobalProtect App: Windows VPN kernel driver denial of service (DoS) |
| CVE-2021-32694 | Malicious Android application can crash the Nextcloud Android Client |
| CVE-2021-33010 | AVEVA System Platform Uncaught Exception |
| CVE-2021-33145 | Uncaught exception in some Intel(R) Ethernet Adapters and Intel(R) Ethernet Controller I225 Manageability firmware may allow... |
| CVE-2021-36802 | Akaunting DoS via User-Controlled 'locale' Variable |
| CVE-2021-37714 | Crafted input may cause the jsoup HTML and XML parser to get stuck, timeout, or throw unchecked exceptions |
| CVE-2021-41545 | A vulnerability has been identified in Desigo DXR2 (All versions < V01.21.142.5-22), Desigo PXC3 (All versions < V01.21.142.4... |
| CVE-2022-1975 | There is a sleep-in-atomic bug in /net/nfc/netlink.c that allows an attacker to crash the Linux kernel by simulating a nfc de... |
| CVE-2022-20675 | Multiple Cisco Security Products Simple Network Management Protocol Service Denial of Service Vulnerability |
| CVE-2022-20761 | Cisco 1000 Series Connected Grid Router Integrated Wireless Access Point Denial of Service Vulnerability |
| CVE-2022-20919 | Cisco IOS and IOS XE Software Common Industrial Protocol Request Denial of Service Vulnerability |
| CVE-2022-24822 | Denial of Service in @podium/layout and @podium/proxy |
| CVE-2022-31015 | Uncaught Exception (due to a data race) leads to process termination in Waitress |
| CVE-2022-3500 | A vulnerability was found in keylime. This security issue happens in some circumstances, due to some improperly handled excep... |
| CVE-2022-36046 | Unexpected server crash in Next.js version 12.2.3 |
| CVE-2022-39386 | fastify-websocket vulnerable to uncaught exception via crash on malformed packet |
| CVE-2022-41940 | Uncaught exception in engine.io |
| CVE-2023-0158 | Triggered crash on direct RRDP access |
| CVE-2023-0790 | Uncaught Exception in thorsten/phpmyfaq |
| CVE-2023-1691 | Vulnerability of failures to capture exceptions in the communication framework. Successful exploitation of this vulnerability... |
| CVE-2023-20086 | A vulnerability in ICMPv6 processing of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (... |
| CVE-2023-22290 | Uncaught exception for some Intel Unison software may allow an authenticated user to potentially enable denial of service via... |
| CVE-2023-22292 | Uncaught exception for some Intel Unison software may allow an authenticated user to potentially enable escalation of privile... |
| CVE-2023-22477 | Mercurius is vulnerable to denial of service (DoS) when using subscriptions |
| CVE-2023-2251 | Uncaught Exception in eemeli/yaml |
| CVE-2023-22941 | Improperly Formatted ‘INGEST_EVAL’ Parameter Crashes Splunk Daemon |
| CVE-2023-23774 | Motorola EBTS/MBTS Site Controller drops to debug prompt on unhandled exception. The Motorola MBTS Site Controller exposes a... |
| CVE-2023-23932 | Specially crafted RTPS message may cause an OpenDDS application to crash |
| CVE-2023-25526 | NVIDIA Cumulus Linux contains a vulnerability in neighmgrd and nlmanager where an attacker on an adjacent network may cause a... |
| CVE-2023-26586 | Uncaught exception for some Intel(R) PROSet/Wireless and Intel(R) Killer(TM) Wi-Fi software before version 22.240 may allow a... |
| CVE-2023-27318 | Denial of Service Vulnerability in StorageGRID (formerly StorageGRID Webscale) |
| CVE-2023-29520 | Page render failure due to broken translations in xwiki-platform |
| CVE-2023-31125 | Uncaught exception in engine.io |
| CVE-2023-3405 | Denial of service condition in M-Files Server |
| CVE-2023-3774 | Vault Enterprise Namespace Creation May Lead to Denial of Service |
| CVE-2023-38504 | Sails DoS vulnerability for apps with sockets enabled |
| CVE-2023-3966 | Openvswsitch: ovs-vswitch fails to recover after malformed geneve metadata packet |
| CVE-2023-39945 | Malformed serialized data in a data submessage leads to unhandled exception |
| CVE-2023-39948 | Uncaught fastcdr exception (Unexpected CDR type received) crashing fastdds |
| CVE-2023-42444 | phonenumber panics on parsing crafted RF3966 inputs |
| CVE-2023-42447 | blurhash panics on parsing crafted inputs |
| CVE-2023-46135 | Panic in SignedPayload::from_payload |
| CVE-2023-46239 | quic-go vulnerable to pointer dereference that can lead to panic |
| CVE-2023-4785 | Denial of Service in gRPC Core |
| CVE-2023-5038 | Unauthenticated DoS |
| CVE-2023-5310 | Z-Wave Denial of Service caused by Stream of Packets |
| CVE-2023-6533 | Silicon Labs PC Controller Denial of Service Vulnerability |
| CVE-2023-6640 | Silicon Labs PC Controller v5.54.0 and Earlier Denial of Service Vulnerability |
| CVE-2024-11172 | Denial of Service in danny-avila/librechat |
| CVE-2024-11173 | Unhandled Exception in danny-avila/librechat |
| CVE-2024-11738 | Rustls: rustls network-reachable panic in `acceptor::accept` |
| CVE-2024-13417 | Specifically crafted payloads sent to the RFID reader could cause DoS of RFID reader. After the device is restarted, it gets... |
| CVE-2024-20137 | In wlan driver, there is a possible client disconnection due to improper handling of exceptional conditions. This could lead... |
| CVE-2024-20276 | A vulnerability in Cisco IOS Software for Cisco Catalyst 6000 Series Switches could allow an unauthenticated, adjacent attack... |
| CVE-2024-21983 | Denial of Service Vulnerability in StorageGRID (formerly StorageGRID Webscale) |
| CVE-2024-23325 | Envoy crashes when using an address type that isn’t supported by the OS |
| CVE-2024-23449 | Elasticsearch Uncaught Exception |
| CVE-2024-28835 | Gnutls: potential crash during chain building/verification |
| CVE-2024-29076 | Uncaught exception for some Intel(R) CST software before version 8.7.10803 may allow an authenticated user to potentially ena... |
| CVE-2024-3051 | Z/IP Gateway Device Reset Locally Denial of Service Vulnerability |
| CVE-2024-3052 | Z/IP Gateway S2 Nonce Get Denial of Service Vulnerability |
| CVE-2024-31217 | @strapi/plugin-upload has a Denial-of-Service via Improper Exception Handling |
| CVE-2024-31904 | IBM App Connect Enterprise denial of service |
| CVE-2024-32995 | Denial of service (DoS) vulnerability in the AMS module Impact: Successful exploitation of this vulnerability will affect ava... |
| CVE-2024-33848 | Uncaught exception in Intel(R) RAID Web Console software all versions may allow an authenticated user to potentially enable d... |
| CVE-2024-34363 | Envoy can crash due to uncaught nlohmann JSON exception |
| CVE-2024-38525 | dd-trace-cpp malformed unicode header values may cause crash |
| CVE-2024-42037 | Vulnerability of uncaught exceptions in the Graphics module Impact: Successful exploitation of this vulnerability may affect... |
| CVE-2024-43357 | JavaScript specification issue may lead to type confusion and pointer dereference in implementations |
| CVE-2024-43367 | Boa has an uncaught exception when transitioning the state of `AsyncGenerator` objects |
| CVE-2024-49705 | XSS in iKSORIS |
| CVE-2024-51518 | Vulnerability of message types not being verified in the advanced messaging modul Impact: Successful exploitation of this vul... |
| CVE-2024-51750 | Element allows a malicious homeserver can modify events leading to unrenderable events or rooms |
| CVE-2024-52903 | IBM Db2 denial of service |
| CVE-2024-54106 | Null pointer dereference vulnerability in the image decoding module Impact: Successful exploitation of this vulnerability wil... |
| CVE-2024-58111 | Exception capture failure vulnerability in the SVG parsing module of the ArkUI framework Impact: Successful exploitation of t... |
| CVE-2024-58112 | Exception capture failure vulnerability in the SVG parsing module of the ArkUI framework Impact: Successful exploitation of t... |
| CVE-2024-8020 | Denial of Service in lightning-ai/pytorch-lightning |
| CVE-2024-8249 | Unauthenticated Denial of Service (DoS) in mintplex-labs/anything-llm |
| CVE-2025-0158 | IBM EntireX denial of service |
| CVE-2025-0648 | M-Files Server crash via EOT database driver configuration |
| CVE-2025-12423 | Denial of Service - Protocol Manipulation |
| CVE-2025-20054 | Uncaught exception in the core management mechanism for some Intel(R) Processors may allow an authenticated user to potential... |
| CVE-2025-20097 | Uncaught exception in OpenBMC Firmware for the Intel(R) Server M50FCP Family and Intel(R) Server D50DNP Family before version... |
| CVE-2025-20637 | In network HW, there is a possible system hang due to an uncaught exception. This could lead to remote denial of service with... |
| CVE-2025-20663 | In wlan AP driver, there is a possible information disclosure due to an uncaught exception. This could lead to remote (proxim... |
| CVE-2025-20664 | In wlan AP driver, there is a possible information disclosure due to an uncaught exception. This could lead to remote (proxim... |
| CVE-2025-24836 | Qardio Heart Health IOS and Android Application and QardioARM A100 Uncaught Exception |
| CVE-2025-24883 | go-ethereum has a DoS via malicious p2p message |
| CVE-2025-29785 | quic-go Has Panic in Path Probe Loss Recovery Handling |
| CVE-2025-3083 | Malformed MongoDB wire protocol messages may cause mongos to crash |
| CVE-2025-32944 | PeerTube User Import Authenticated Persistent Denial of Service |
| CVE-2025-35436 | CISA Thorium account verification email error handling |
| CVE-2025-36539 | AVEVA PI Data Archive Uncaught Exception |
| CVE-2025-3891 | Mod_auth_openidc: dos via empty post in mod_auth_openidc with oidcpreservepost enabled |
| CVE-2025-43855 | tRPC 11 WebSocket DoS Vulnerability |
| CVE-2025-44019 | AVEVA PI Data Archive Uncaught Exception |
| CVE-2025-47281 | Kyverno's Improper JMESPath Variable Evaluation Leads to Denial of Service |
| CVE-2025-47944 | Multer vulnerable to Denial of Service from maliciously crafted requests |
| CVE-2025-48430 | Uncaught Exception (CWE-248) in the Command Centre Server allows an Authorized and Privileged Operator to crash the Command C... |
| CVE-2025-48907 | Deserialization vulnerability in the IPC module Impact: Successful exploitation of this vulnerability may affect availability... |
| CVE-2025-48942 | vLLM DOS: Remotely kill vllm over http with invalid JSON schema |
| CVE-2025-48943 | vLLM allows clients to crash the openai server with invalid regex |
| CVE-2025-48997 | Multer vulnerable to Denial of Service via unhandled exception |
| CVE-2025-53365 | MCP Python SDK has Unhandled Exception in Streamable HTTP Transport ,Leading to Denial of Service |
| CVE-2025-53366 | MCP SDK Vulnerable to FastMCP Server Validation Error, Leading to Denial of Service |
| CVE-2025-53620 | Crashing any Qwik Server |
| CVE-2025-54134 | HAX CMS NodeJs's Improper Error Handling Leads to Denial of Service |
| CVE-2025-54777 | Uncaught exception issue exists in Multiple products in bizhub series. If a malformed file is imported as an S/MIME Email cer... |
| CVE-2025-55194 | Part-DB Persistent Denial of Service via Uncaught Exception from Misleading File Extension in Avatar Upload |
| CVE-2025-59014 | Denial of Service in TYPO3 Bookmark Toolbar |
| CVE-2025-59229 | Microsoft Office Denial of Service Vulnerability |
| CVE-2025-59462 | Denial-of-service (DoS) via delayed or missing client response |
| CVE-2025-59538 | Argo CD is Vulnerable to Unauthenticated Remote DoS via malformed Azure DevOps git.push webhook |
| CVE-2025-62370 | Alloy Core has a DoS vulnerability on `alloy_dyn_abi::TypedData` hashing |
| CVE-2025-66305 | Grav vulnerable to Denial of Service via Improper Input Handling in 'Supported' Parameter |
| CVE-2025-66578 | robrichards/xmlseclibs has an Libxml2 Canonicalization error which can bypass Digest/Signature validation |
| CVE-2025-67647 | SvelteKit Denial of service and possible SSRF when using prerendering |
| CVE-2025-7338 | Multer vulnerable to Denial of Service via unhandled exception from malformed request |
| CVE-2025-8870 | On affected platforms running Arista EOS, certain serial console input might result in an unexpected reload of the device. |
| CVE-2025-9124 | Rockwell Automation Compact GuardLogix® 5370 Denial-Of-Service Vulnerability |
| CVE-2026-1507 | Uncaught Exception vulnerability in AVEVA PI Data Archive |
| CVE-2026-1528 | undici is vulnerable to Malicious WebSocket 64-bit length overflows undici parser and crashes the client |
| CVE-2026-20031 | ClamAV CSS Image Parsing Error Handling Denial of Service Vulnerability |
| CVE-2026-20068 | Multiple Cisco Products Snort 3 TBD Denial of Service Vulnerability |
| CVE-2026-2229 | undici is vulnerable to Unhandled Exception in undici WebSocket Client Due to Invalid server_max_window_bits Validation |
| CVE-2026-25128 | fast-xml-parser has RangeError DoS Numeric Entities Bug |
| CVE-2026-25577 | Emmett has an Unhandled CookieError Exception Causing Denial of Service |
| CVE-2026-27631 | Exiv2: Uncaught exception - cannot create std::vector larger than max_size() |
| CVE-2026-27819 | Vikunja has Path Traversal in CLI Restore |
| CVE-2026-31812 | Quinn affected by unauthenticated remote DoS via panic in QUIC transport parameter parsing |
| CVE-2026-31870 | cpp-httplib Affected by Remote Process Crash via Malformed Content-Length Response Header |
| CVE-2026-31949 | LibreChat Denial of Service (DoS) via Unhandled Exception in DELETE /api/convos |
| CVE-2026-32314 | Yamux remote Panic via malformed Data frame with SYN set and len = 262145 |
НКЦКИ уязвимости
Бюллетени НКЦКИ - уязвимости ПО
| Идентификатор | Дата бюллетеня | Описание |
|---|---|---|
| VULN:20240216-65 | 16.02.2024 | Отказ в обслуживании в Consul Enterprise |
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.