Каталоги
В сервис интегрированы наиболее популярные публичных базы знаний:
- Сертификаты СЗИ - Государственный реестр сертифицированных средств защиты информации опубликованный Федеральной службой по техническому и экспортному контролю, может быть использован для контроля актуальности используемых СЗИ в организации.
- CVE уязвимости - общедоступная публичная база уязвимостей Common Vulnerabilities and Exposures (CVE). Миссия программы CVE заключается в выявлении, определении и каталогизации публично раскрываемых уязвимостей в сфере кибербезопасности. Для каждой уязвимости в каталоге существует одна запись CVE. Уязвимости обнаруживаются, затем присваиваются и публикуются организациями по всему миру, которые сотрудничают с программой CVE. Партнеры публикуют записи CVE для единообразного описания уязвимостей. Специалисты в области информационных технологий и кибербезопасности используют записи CVE, чтобы убедиться, что они обсуждают одну и ту же проблему, и координировать свои усилия по определению приоритетности и устранению уязвимостей.
- БДУ ФСТЭК уязвимости - раздел Уязвимости Банка данных уязвимостей опубликованная Федеральной службой по техническому и экспортному контролю совместно с Государственным научно-исследовательским испытательным институтом проблем технической защиты информации. Одной из целей создания банка данных угроз безопасности информации является объединение специалистов в области информационной безопасности для решения задач повышения защищенности информационных систем.
- НКЦКИ уязвимости - общедоступная публичная база уязвимостей Национального координационного центра по компьютерным инцидентам (НКЦКИ), обеспечивающего координацию деятельности субъектов КИИ по обнаружению, предупреждению, ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты.
- MITRE ATT&CK – Adversarial Tactics, Techniques & Common Knowledge – Тактики, техники и общеизвестные знания о злоумышленниках. Это основанная на реальных наблюдениях база знаний компании Mitre, содержащая описание тактик, приемов и методов, используемых киберпреступниками. База создана в 2013 году и регулярно обновляется, цель – составление структурированной матрицы используемых киберпреступниками приемов, чтобы упростить задачу реагирования на киберинциденты.
- БДУ ФСТЭК и Новая БДУ ФСТЭК – раздел Угрозы Банка данных угроз, опубликованный в 2015 году Федеральной службой по техническому и экспортному контролю и Государственным научно-исследовательским испытательным институтом проблем технической защиты информации, обязателен при моделировании угроз при построении систем защиты персональных данных, критической информационной инфраструктуры, государственных информационных систем.
CVE, БДУ ФСТЭК и НКЦКИ
Каталоги CVE уязвимости, БДУ ФСТЭК уязвимости и НКЦКИ уязвимости предоставляют дополнительный контент и обогащают информацией описание уязвимостей от сканеров в модуле Технические уязвимости.
Интерфейс каталогов идентичен и содержит следующие блоки:
- Метрики:
- Найденные уязвимости – отображает количество найденных в отчетах от сканеров уязвимостей которые связаны с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей);
- Уязвимые хосты – отображает количество хостов на которых обнаружены уязвимости связанные с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей).
- Табличную часть Каталог уязвимостей:
- Фильтр по полю Идентификатор - особенностью данного фильтра является автоматический разбор текста с последующим извлечением из текста идентификаторов. Для этого необходимо вставить произвольный текст с идентификаторами в поле и добавить в фильтр через кнопку плюс;
- Табличную часть с полями для каталогов CVE и БДУ ФСТЭК:
- Идентификатор - id уязвимости в базе уязвимостей;
- Описание - текстовое описание уязвимости;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- CVSS - числовая оценка уязвимости согласно источнику, с указанием даты выявления уязвимости экспертами, оценка отображается цветом согласно оценке CVSS 0.1 – 3.9 Low Зеленый,
4.0 – 6.9 Medium Желтый, 7.0 – 8.9 High Оранжевый, 9.0 – 10.0 Critical Красный.
- Табличную часть с полями для каталогов CVE :
- Дата бюллетеня - информация о дате публикации бюллетеня содержащего уязвимости;
- Идентификатор - id уязвимости в базе уязвимостей;
- Информация - текстовое описание уязвимости;
- Вектор атаки - локальный или сетевой вектор атаки;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- Наличие обновления - - флаг, данный статус отображается если база уязвимостей содержит информацию о наличии обновлений от производителя уязвимого ПО;
- Дата выявления - даты выявления уязвимости экспертами.
- Чекбокс «Только обнаруженные уязвимости» - устанавливает фильтр на табличную часть для отображения только обнаруженные уязвимости.
- Функционал для экспорта всех уязвимостей каталога.
- Для каталога добавляется функционал Варианты отображения:
- Бюллетени - изменяет отображение табличной части на реестр бюллетеней, отображает общее количество уязвимостей в бюллетени в поле Уязвимостей в бюллетени и статус по обнаружению в поле Обнаружено - данный статус отображается если хотя бы одна уязвимость из бюллетеня обнаружена в инфраструктуре.
- Уязвимости.
MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК
Данные из каталогов MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК могут использоваться для контекстного наполнения риска в модуле Риски.
Каждый из указанных каталогов сформирован по собственной схеме данных, которая не соответствует подходу оценки риска, используемому в сервисе. Но в основе своей указанные базы описывают все те же риски информационной безопасности, каждый под своим углом. Поэтому они добавлены в сервис и как отдельные компоненты и как основа для создания рисков, угроз или уязвимостей.
Каталоги могут использоваться в сервисе с целью:
- Облегчения процесса формирования рисков, угроз и уязвимостей;
- Обогащения информации по рискам (угрозам, уязвимостям) созданным в сервисе.
- Взгляда на компанию и оценку рисков через публичные каталоги угроз.
Сервис позволяет установить связь между объектами из каталогов и 3 типами объектов сервиса: угрозами, уязвимостями или рисками безопасности:
- Уязвимости могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK и способами реализации Новой БДУ ФСТЭК.
- Угрозы могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами и последствиями Новой БДУ ФСТЭК.
- Риски могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами, способами реализации и последствиями Новой БДУ ФСТЭК.
Такой широкий выбор возможных связей сделан потому, что объекты из каталогов угроз могут быть или угрозой или уязвимостью в контексте сервиса.
Например, УБИ.004 Угроза аппаратного сброса пароля BIOS из БДУ ФСТЭК в контексте сервиса является уязвимостью, особенностью активов типа Микропрограммное обеспечение, которая может привести к реализации угрозы Несанкционированного локального доступа к BIOS.
В большинстве случаев угрозы из БДУ ФСТЭК и техники из MITRE ATT@CK являются именно уязвимостями, использование которых ведет к реализации угроз безопасности, но бывают и исключения.
Для рисков, угроз и уязвимостей из базы Community связи с каталогами угроз уже установлены.
Связь с каталогом угроз может быть прямой или косвенной. Например, если уязвимость связана с угрозой из БДУ ФСТЭК то и все риски, в составе которых есть данная уязвимость будут автоматически связаны с угрозой из БДУ ФСТЭК.
Каталог БДУ ФСТЭК - это реестр рисков от банка данных угроз безопасности информации ФСТЭК России.
Каждая угроза содержит описание, рекомендации к каким типам активов может быть применена эта угроза, классификация по свойствам информации и вероятные источники угрозы. Дополнительно в блоке Связанные риски указаны связанные риски, а в блоке Каталоги указываются связи с записями из других каталогов.
Каталог Новая БДУ ФСТЭК от банка данных угроз безопасности информации ФСТЭК России содержит:
- матрицу Способы реализации (возникновения угроз) - каждая ячейка которых содержит описание поверхности атаки: группу способов, уровень возможностей нарушителя, возможные реализуемые угрозы, компоненты объектов воздействия, возможные меры защиты;
- Негативные последствия - перечень негативных последствий в классификации ФСТЭК в виде кода и описания;
- Угрозы - реестр угроз с описанием, каждая угроза содержит возможные объекты воздействия и возможные способы реализации угроз;
- Объекты - перечень объектов последствий с описанием и компонентами которые могут входить в состав объекта;
- Компоненты - перечень компонентов объектов воздействия с указанием объектов воздействия на которых они могут располагаться;
- Нарушители - уровни возможностей нарушителей классифицированные по возможностям и компетенции;
- Меры защиты - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя.
Каталог MITRE ATT&CK содержит:
- Матрица - содержит тактики и техники злоумышленника, позволяет на основании тактики или техники создать риск или уязвимость, в матрице указаны связи с рисками в базе Community и с рисками в базе команды;
- Тактики - направления действия нарушителя на том или ином этапе cyberkillchane;
- Техники - конкретные действия нарушителя для достижения цели на конкретном шаге cyberkillchane;
- Контрмеры - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя;
- Преступные группы - описание APT группировок и их особенности и модель поведения;
- Инструменты - ПО используемое нарушителями для вредоносного воздействия.
Матрицы могут использоваться для построения тепловой карты рисков наложенных на матрицы угроз и уязвимостей.
Сертификаты СЗИ
Каталог Сертификаты СЗИ может быть использован в модуле Активы как источник информации для поля Номер сертификата СЗИ. В модуле активов есть возможность вести реестр СЗИ используемых в организации, в свою очередь каталог сертификатов СЗИ позволяет связать актив с каталогом через поле актива Номер сертификата СЗИ.
Каталог Сертификаты СЗИ содержит реестр с информацией о номере сертификата, сроке действия сертификата и сроке поддержки СЗИ. Кроме реестра каталог содержит следующие метрики:
- Имеющиеся СЗИ - отображает количество активов у которых заполнено поле Номер сертификата СЗИ;
- Скоро будут просрочены - отображает количество активов у которых срок действия сертификата меньше 90 календарных дней;
- Просроченные сертификаты - отображает количество активов у которых срок действия сертификата уже истек;
- Истекшая поддержка - отображает количество активов у которых срок действия сертификата уже истек.
Каждая метрика ведёт в реестр активов и выводит список СЗИ, отфильтрованный по соответствующим параметрам.
Нажав на просмотр сертификата, мы увидим карточку сертификата, сервис хранит информацию о следующих данных:
- Номер сертификата;
- Дата внесения в реестр;
- Срок действия сертификата;
- Срок окончания тех. поддержки;
- Наименование средства (шифр);
- Схема сертификации;
- Испытательная лаборатория;
- Орган по сертификации;
- Заявитель;
- Наименования документов соответствия;
- Реквизиты заявителя.
Реестр обновляется автоматически один раз в месяц.
Куда я попал?
CWE-248
CWE-248: Uncaught Exception
Идентификаторы ФСТЭК уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| BDU:2019-00178 | Уязвимость программного обеспечения программируемого логического контроллера Siemens Sinumerik, связанная с ошибкой обработки сетевых пакетов VNC-сервером, позволяющая нарушителю вызвать отказ в обслуживании VNC-сервера |
| BDU:2019-00179 | Уязвимость программного обеспечения программируемого логического контроллера Siemens Sinumerik, связанная с ошибкой обработки исключениий, позволяющая нарушителю читать произвольные записи или выполнять произвольный код в режиме ядра |
| BDU:2019-00180 | Уязвимость программного обеспечения программируемого логического контроллера Siemens Sinumerik, связанная с ошибкой обработки исключений, позволяющая нарушителю вызвать отказ в обслуживании встроенного межсетевого экрана или выполнить произвольный ко... |
| BDU:2019-02043 | Уязвимость микропрограммного обеспечения программируемого логического контроллера Modicon, связанная с ошибками обработки исключительных ситуаций, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-02048 | Уязвимость микропрограммного обеспечения программируемого логического контроллера Modicon, связанная с необработанным исключением, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-02050 | Уязвимость микропрограммного обеспечения программируемого логического контроллера Modicon, связанная с необработанным исключением, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-02051 | Уязвимость микропрограммного обеспечения программируемого логического контроллера Modicon, связанная с необработанным исключением, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-02052 | Уязвимость микропрограммного обеспечения программируемого логического контроллера Modicon, связанная с необработанным исключением, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-02109 | Уязвимость микропрограммного обеспечения программируемого логического контроллера Modicon, связанная с необработанным исключением, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-03888 | Уязвимость компонента Serialization программных платформ Oracle Java SE и Oracle Java SE Embedded, позволяющая нарушителю вызвать частичный отказ в обслуживании |
| BDU:2019-03890 | Уязвимость компонента JAXP программных платформ Oracle Java SE и Oracle Java SE Embedded, позволяющая нарушителю вызвать частичный отказ в обслуживании |
| BDU:2019-03896 | Уязвимость компонента Scripting программных платформ Oracle Java SE и Java SE Embedded, позволяющая нарушителю оказать воздействие на целостность защищаемой информации или вызвать частичный отказ в обслуживании |
| BDU:2019-03901 | Уязвимость компонента JAXP программных платформ Oracle Java SE и Oracle Java SE Embedded, позволяющая нарушителю вызвать частичный отказ в обслуживании |
| BDU:2019-03910 | Уязвимость компонента Concurrency программных платформ Oracle Java SE и Oracle Java SE Embedded, позволяющая нарушителю вызвать частичный отказ в обслуживании |
| BDU:2019-04068 | Уязвимость утилиты контроля целостности fly-admin-int-check операционной системы Astra Linux, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-04188 | Уязвимость микропрограммного обеспечения контроллеров Modicon, связанная с отсутствием проверки целостности обновления встроенного программного обеспечения, позволяющая нарушителю загрузить обновление встроенного программного обеспечения без образа п... |
| BDU:2019-04189 | Уязвимость микропрограммного обеспечения контроллеров Modicon, связанная с отсутствием проверки целостности обновления встроенного программного обеспечения, позволяющая нарушителю загрузить обновление встроенного программного обеспечения с отсутствую... |
| BDU:2019-04190 | Уязвимость микропрограммного обеспечения контроллеров Modicon, связанная с отсутствием проверки целостности обновления встроенного программного обеспечения, позволяющая нарушителю загрузить обновление встроенного программного обеспечения с пустым обр... |
| BDU:2019-04191 | Уязвимость микропрограммного обеспечения контроллеров Modicon, связанная с отсутствием проверки целостности обновления встроенного программного обеспечения, позволяющая нарушителю загрузить обновление встроенного программного обеспечения с поврежденн... |
| BDU:2019-04192 | Уязвимость микропрограммного обеспечения контроллеров Modicon, связанная с отсутствием проверки версии обновления встроенного программного обеспечения, позволяющая нарушителю загрузить обновление встроенного программного обеспечения не поддерживаемой... |
| BDU:2019-04193 | Уязвимость микропрограммного обеспечения контроллеров Modicon, связанная с ошибкой обработки данных REST API, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2019-04218 | Уязвимость программного обеспечения DIGSI 5 и устройств SIPROTEC 5, связанная с недостаточной проверкой вводимых данных, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2020-02364 | Уязвимость Java-библиотеки Nimbus JOSE + JWT, связанная с недостаточной проверкой необычных или исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании или получить несанкционированный доступ к защищаемой информации |
| BDU:2020-05166 | Уязвимость системы обработки вызовов Cisco Unified Communications Manager IM Presence Service (Unified CM IMP), связанная с ошибкой обработки исключений, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2020-05332 | Уязвимость системы автоматизированного проектирования Intel Quartus Prime для Intel(R) 50GbE IP Core, связанная с необработанным исключением, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2021-00819 | Уязвимость драйвера графических систем Intel Graphics Drivers, связанная с ошибкой обработки исключениий, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2021-03337 | Уязвимость cлужбы AutoBuild платформы для приложений диспетчерского управления AVEVA System Platform, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2021-04488 | Уязвимость реализации протокола TCP стеков TCP/IP NicheLite и InterNiche, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2022-02216 | Уязвимость реализации стека протоколов TCP/IP системы обеспечения безопасности электронной почты Cisco Email Security Appliance, интернет-шлюзов Cisco Web Security Appliance и устройства управления защитой контента Cisco Secure Email and Web Manager... |
| BDU:2022-04152 | Уязвимость реализации протокола BACnet микропрограммного обеспечения модулей станций автоматизации Desigo DXR2, PXC3, PXC4, PXC5, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2022-04549 | Уязвимость операционной системы Cisco IOS маршрутизаторов Cisco 1000 Series Connected Grid Routers, существующая из-за недостаточной проверки входных данных, позволяющая нарушителю вызвать перезагрузку устройства или вызвать отказ в обслуживании |
| BDU:2022-04583 | Уязвимость системы BIOS микропрограммного обеспечения процессоров Intel, позволяющая нарушителю повысить свои привилегии и выполнить произвольный код |
| BDU:2022-05188 | Уязвимость компонента /net/nfc/netlink.c ядра операционной системы Linux, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2022-06569 | Уязвимость пакета keylime операционной системы Red Hat Enterprise Linux, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2023-05159 | Уязвимость компонента Libraries программной платформы Oracle Java SE и виртуальной машины Oracle GraalVM Enterprise Edition, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2023-05361 | Уязвимость Java-библиотеки анализа, извлечения и управления данными в документах HTML jsoup, связанная с недостатками в обработке исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2023-05392 | Уязвимость библиотеки Fast DDS, связанная с ошибкой обработки исключений, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2023-05393 | Уязвимость библиотеки Fast DDS , связанная с недостатками в обработке исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2023-06148 | Уязвимость компонентов neighmgrd и nlmanager сетевой операционной системы NVIDIA Cumulus Linux, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-01316 | Уязвимость фильтра управления пакетами на основе потоков TC flower программного многоуровневого коммутатора Open vSwitch (OvS), позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-02161 | Уязвимость драйверов сетевых устройств Intel PROSet/Wireless WiFi и Intel Killer Wi-Fi, связанная с ошибкой обработки исключениий, позволяющая нарушителю вызвать в отказ в обслуживании |
| BDU:2024-02399 | Уязвимость функции gnutls_x509_trust_list_verify_crt2() библиотеки безопасности транспортного уровня GnuTLS, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-02483 | Уязвимость реализации прикладного программного интерфейса поисковой системы Elasticsearch, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-02656 | Уязвимость операционных систем Cisco IOS сетевых устройств Cisco Catalyst серии 6000, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-02906 | Уязвимость прокси-сервера Envoy, связанная с не перехваченным исключением, позволяющая нарушителю вызвать аварийное завершение работы приложения |
| BDU:2024-05954 | Уязвимость компонента AdminAPI панели управления программного средства для интеграции приложений IBM App Connect Enterprise, связанная с ошибкой обработки исключениий, позволяющая нарушителю вызвать в отказ в обслуживании |
| BDU:2024-09124 | Уязвимость веб-консоли Intel Raid Web Console, связанная с ошибкой обработки исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-02768 | Уязвимость микропрограммного обеспечения серверных плат Intel Server Board M50FCP и Intel Server Board D50DNP, связанная с ошибкой обработки исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-04475 | Уязвимость функции dce110_disable_stream() модуля drivers/gpu/drm/amd/display/dc/dce110/dce110_hw_sequencer.c - драйвера поддержки инфраструктуры прямого рендеринга (DRI) видеокарт AMD ядра операционной системы Linux, позволяющая нарушителю вызвать о... |
| BDU:2025-04963 | Уязвимость реализации протокола SNMP операционных систем Cisco IOS и IOS XE, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-04965 | Уязвимость реализации протокола SNMP операционных систем Cisco IOS, IOS XE и Cisco IOS XR, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-05329 | Уязвимость программного обеспечения для интеграции старых и новых технологий IBM EntireX, связанная с ошибкой обработки исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-06210 | Уязвимость утилиты для обработки фрагментов Mongos системы управления базами данных MongoDB, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-10620 | Уязвимость функции ThrowException() модели разрешений программной платформы Node.js, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-10948 | Уязвимость модуля аутентификации и авторизации для Apache 2.x HTTP server Mod_auth_openidc, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-11321 | Уязвимость интерфейса v1/completions библиотеки для работы с большими языковыми моделями (LLM) vLLM, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-11672 | Уязвимость SCADA-системы "ЭНТЕК", связанная с недостаточной обработкой исключений, позволяющая нарушителю вызвать отказ в обслуживании REST API сервиса |
| BDU:2025-11971 | Уязвимость микрокода процессоров Intel Microcode, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-12835 | Уязвимость метода torch.Tensor.random_() фреймворка машинного обучения PyTorch, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-12836 | Уязвимость интерфейса torch.cummin фреймворка машинного обучения PyTorch, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-13068 | Уязвимость пакетов программ Microsoft Office и 365 Apps for Enterprise, связанная с ошибкой обработки исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-14615 | Уязвимость фреймворка для создания высокопроизводительных веб-приложений Qwik, связанная с ошибкой обработки исключениий, позволяющая нарушителю вызвать в отказ в обслуживании |
| BDU:2025-15937 | Уязвимость драйвера Wlan AP Driver микропрограммного обеспечения микросхем MediaTek, позволяющая нарушителю раскрыть защищаемую информацию |
| BDU:2025-15938 | Уязвимость драйвера Wlan AP Driver микропрограммного обеспечения микросхем MediaTek, позволяющая нарушителю раскрыть защищаемую информацию |
| BDU:2026-00094 | Уязвимость библиотеки mcp (MCP Python SDK), связанная с ошибкой обработки исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2026-00095 | Уязвимость библиотеки mcp (MCP Python SDK), связанная с ошибкой обработки исключительных состояний, позволяющая нарушителю вызвать отказ в обслуживании |
Идентификаторы CVE уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| CVE-2013-10065 | Sysax Multi-Server <= 6.10 SSHD Key Exchange DoS |
| CVE-2016-10363 | Logstash versions prior to 2.3.3, when using the Netflow Codec plugin, a remote attacker crafting malicious Netflow v5, Netfl... |
| CVE-2018-11464 | A vulnerability has been identified in SINUMERIK 828D V4.7 (All versions < V4.7 SP6 HF1), SINUMERIK 840D sl V4.7 (All version... |
| CVE-2018-11465 | A vulnerability has been identified in SINUMERIK 808D V4.7 (All versions), SINUMERIK 808D V4.8 (All versions), SINUMERIK 828D... |
| CVE-2018-11466 | A vulnerability has been identified in SINUMERIK 808D V4.7 (All versions), SINUMERIK 808D V4.8 (All versions), SINUMERIK 828D... |
| CVE-2019-10917 | A vulnerability has been identified in SIMATIC PCS 7 V8.0 and earlier (All versions), SIMATIC PCS 7 V8.1 (All versions < V8.1... |
| CVE-2019-10931 | A vulnerability has been identified in All other SIPROTEC 5 device types with CPU variants CP300 and CP100 and the respective... |
| CVE-2019-6575 | A vulnerability has been identified in SIMATIC CP 443-1 OPC UA (All versions), SIMATIC ET 200SP Open Controller CPU 1515SP PC... |
| CVE-2019-6809 | A CWE-248: Uncaught Exception vulnerability exists in Modicon M580 (firmware versions prior to V2.90), Modicon M340 (firmware... |
| CVE-2019-6828 | A CWE-248: Uncaught Exception vulnerability exists Modicon M580 (firmware version prior to V2.90), Modicon M340 (firmware ver... |
| CVE-2019-6829 | A CWE-248: Uncaught Exception vulnerability exists in Modicon M580 (firmware version prior to V2.90) and Modicon M340 (firmwa... |
| CVE-2019-6830 | A CWE-248: Uncaught Exception vulnerability exists IN Modicon M580 all versions prior to V2.80, which could cause a possible... |
| CVE-2019-7474 | A vulnerability in SonicWall SonicOS and SonicOSv, allow authenticated read-only admin to leave the firewall in an unstable s... |
| CVE-2020-10292 | Service DoS through arbitrary pointer dereferencing on KUKA simulator |
| CVE-2020-10604 | In OSIsoft PI System multiple products and versions, a remote, unauthenticated attacker could crash PI Network Manager servic... |
| CVE-2020-14348 | It was found in AMQ Online before 1.5.2 that injecting an invalid field to a user's AddressSpace configuration of the user na... |
| CVE-2020-15796 | A vulnerability has been identified in SIMATIC ET 200SP Open Controller (incl. SIPLUS variants) (V20.8), SIMATIC S7-1500 Soft... |
| CVE-2020-27121 | Cisco Unified Communications Manager IM and Presence Service Denial of Service Vulnerability |
| CVE-2020-5129 | A vulnerability in the SonicWall SMA1000 HTTP Extraweb server allows an unauthenticated remote attacker to cause HTTP server... |
| CVE-2020-6019 | Valve's Game Networking Sockets prior to version v1.2.0 improperly handles inlined statistics messages in function CConnectio... |
| CVE-2021-25971 | Camaleon CMS - SVG File Upload Creates DoS for Media Upload Feature |
| CVE-2021-3038 | GlobalProtect App: Windows VPN kernel driver denial of service (DoS) |
| CVE-2021-32694 | Malicious Android application can crash the Nextcloud Android Client |
| CVE-2021-33010 | AVEVA System Platform Uncaught Exception |
| CVE-2021-33145 | Uncaught exception in some Intel(R) Ethernet Adapters and Intel(R) Ethernet Controller I225 Manageability firmware may allow... |
| CVE-2021-36802 | Akaunting DoS via User-Controlled 'locale' Variable |
| CVE-2021-37714 | Crafted input may cause the jsoup HTML and XML parser to get stuck, timeout, or throw unchecked exceptions |
| CVE-2021-41545 | A vulnerability has been identified in Desigo DXR2 (All versions < V01.21.142.5-22), Desigo PXC3 (All versions < V01.21.142.4... |
| CVE-2022-1975 | There is a sleep-in-atomic bug in /net/nfc/netlink.c that allows an attacker to crash the Linux kernel by simulating a nfc de... |
| CVE-2022-20675 | Multiple Cisco Security Products Simple Network Management Protocol Service Denial of Service Vulnerability |
| CVE-2022-20761 | Cisco 1000 Series Connected Grid Router Integrated Wireless Access Point Denial of Service Vulnerability |
| CVE-2022-20919 | Cisco IOS and IOS XE Software Common Industrial Protocol Request Denial of Service Vulnerability |
| CVE-2022-24822 | Denial of Service in @podium/layout and @podium/proxy |
| CVE-2022-31015 | Uncaught Exception (due to a data race) leads to process termination in Waitress |
| CVE-2022-3500 | A vulnerability was found in keylime. This security issue happens in some circumstances, due to some improperly handled excep... |
| CVE-2022-36046 | Unexpected server crash in Next.js version 12.2.3 |
| CVE-2022-39386 | fastify-websocket vulnerable to uncaught exception via crash on malformed packet |
| CVE-2022-41940 | Uncaught exception in engine.io |
| CVE-2023-0158 | Triggered crash on direct RRDP access |
| CVE-2023-0790 | Uncaught Exception in thorsten/phpmyfaq |
| CVE-2023-1691 | Vulnerability of failures to capture exceptions in the communication framework. Successful exploitation of this vulnerability... |
| CVE-2023-20086 | A vulnerability in ICMPv6 processing of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (... |
| CVE-2023-22290 | Uncaught exception for some Intel Unison software may allow an authenticated user to potentially enable denial of service via... |
| CVE-2023-22292 | Uncaught exception for some Intel Unison software may allow an authenticated user to potentially enable escalation of privile... |
| CVE-2023-22477 | Mercurius is vulnerable to denial of service (DoS) when using subscriptions |
| CVE-2023-2251 | Uncaught Exception in eemeli/yaml |
| CVE-2023-22941 | Improperly Formatted ‘INGEST_EVAL’ Parameter Crashes Splunk Daemon |
| CVE-2023-23774 | Motorola EBTS/MBTS Site Controller drops to debug prompt on unhandled exception. The Motorola MBTS Site Controller exposes a... |
| CVE-2023-23932 | Specially crafted RTPS message may cause an OpenDDS application to crash |
| CVE-2023-25526 | NVIDIA Cumulus Linux contains a vulnerability in neighmgrd and nlmanager where an attacker on an adjacent network may cause a... |
| CVE-2023-26586 | Uncaught exception for some Intel(R) PROSet/Wireless and Intel(R) Killer(TM) Wi-Fi software before version 22.240 may allow a... |
| CVE-2023-27318 | Denial of Service Vulnerability in StorageGRID (formerly StorageGRID Webscale) |
| CVE-2023-29520 | Page render failure due to broken translations in xwiki-platform |
| CVE-2023-31125 | Uncaught exception in engine.io |
| CVE-2023-3405 | Denial of service condition in M-Files Server |
| CVE-2023-3774 | Vault Enterprise Namespace Creation May Lead to Denial of Service |
| CVE-2023-38504 | Sails DoS vulnerability for apps with sockets enabled |
| CVE-2023-3966 | Openvswsitch: ovs-vswitch fails to recover after malformed geneve metadata packet |
| CVE-2023-39945 | Malformed serialized data in a data submessage leads to unhandled exception |
| CVE-2023-39948 | Uncaught fastcdr exception (Unexpected CDR type received) crashing fastdds |
| CVE-2023-42444 | phonenumber panics on parsing crafted RF3966 inputs |
| CVE-2023-42447 | blurhash panics on parsing crafted inputs |
| CVE-2023-46135 | Panic in SignedPayload::from_payload |
| CVE-2023-46239 | quic-go vulnerable to pointer dereference that can lead to panic |
| CVE-2023-4785 | Denial of Service in gRPC Core |
| CVE-2023-5038 | Unauthenticated DoS |
| CVE-2023-5310 | Z-Wave Denial of Service caused by Stream of Packets |
| CVE-2023-6533 | Silicon Labs PC Controller Denial of Service Vulnerability |
| CVE-2023-6640 | Silicon Labs PC Controller v5.54.0 and Earlier Denial of Service Vulnerability |
| CVE-2024-11172 | Denial of Service in danny-avila/librechat |
| CVE-2024-11173 | Unhandled Exception in danny-avila/librechat |
| CVE-2024-11738 | Rustls: rustls network-reachable panic in `acceptor::accept` |
| CVE-2024-13417 | Specifically crafted payloads sent to the RFID reader could cause DoS of RFID reader. After the device is restarted, it gets... |
| CVE-2024-20137 | In wlan driver, there is a possible client disconnection due to improper handling of exceptional conditions. This could lead... |
| CVE-2024-20276 | A vulnerability in Cisco IOS Software for Cisco Catalyst 6000 Series Switches could allow an unauthenticated, adjacent attack... |
| CVE-2024-21983 | Denial of Service Vulnerability in StorageGRID (formerly StorageGRID Webscale) |
| CVE-2024-23325 | Envoy crashes when using an address type that isn’t supported by the OS |
| CVE-2024-23449 | Elasticsearch Uncaught Exception |
| CVE-2024-28835 | Gnutls: potential crash during chain building/verification |
| CVE-2024-29076 | Uncaught exception for some Intel(R) CST software before version 8.7.10803 may allow an authenticated user to potentially ena... |
| CVE-2024-3051 | Z/IP Gateway Device Reset Locally Denial of Service Vulnerability |
| CVE-2024-3052 | Z/IP Gateway S2 Nonce Get Denial of Service Vulnerability |
| CVE-2024-31217 | @strapi/plugin-upload has a Denial-of-Service via Improper Exception Handling |
| CVE-2024-31904 | IBM App Connect Enterprise denial of service |
| CVE-2024-32995 | Denial of service (DoS) vulnerability in the AMS module Impact: Successful exploitation of this vulnerability will affect ava... |
| CVE-2024-33848 | Uncaught exception in Intel(R) RAID Web Console software all versions may allow an authenticated user to potentially enable d... |
| CVE-2024-34363 | Envoy can crash due to uncaught nlohmann JSON exception |
| CVE-2024-38525 | dd-trace-cpp malformed unicode header values may cause crash |
| CVE-2024-42037 | Vulnerability of uncaught exceptions in the Graphics module Impact: Successful exploitation of this vulnerability may affect... |
| CVE-2024-43357 | JavaScript specification issue may lead to type confusion and pointer dereference in implementations |
| CVE-2024-43367 | Boa has an uncaught exception when transitioning the state of `AsyncGenerator` objects |
| CVE-2024-49705 | XSS in iKSORIS |
| CVE-2024-51518 | Vulnerability of message types not being verified in the advanced messaging modul Impact: Successful exploitation of this vul... |
| CVE-2024-51750 | Element allows a malicious homeserver can modify events leading to unrenderable events or rooms |
| CVE-2024-52903 | IBM Db2 denial of service |
| CVE-2024-54106 | Null pointer dereference vulnerability in the image decoding module Impact: Successful exploitation of this vulnerability wil... |
| CVE-2024-58111 | Exception capture failure vulnerability in the SVG parsing module of the ArkUI framework Impact: Successful exploitation of t... |
| CVE-2024-58112 | Exception capture failure vulnerability in the SVG parsing module of the ArkUI framework Impact: Successful exploitation of t... |
| CVE-2024-8020 | Denial of Service in lightning-ai/pytorch-lightning |
| CVE-2024-8249 | Unauthenticated Denial of Service (DoS) in mintplex-labs/anything-llm |
| CVE-2025-0158 | IBM EntireX denial of service |
| CVE-2025-0648 | M-Files Server crash via EOT database driver configuration |
| CVE-2025-12423 | Denial of Service - Protocol Manipulation |
| CVE-2025-20054 | Uncaught exception in the core management mechanism for some Intel(R) Processors may allow an authenticated user to potential... |
| CVE-2025-20097 | Uncaught exception in OpenBMC Firmware for the Intel(R) Server M50FCP Family and Intel(R) Server D50DNP Family before version... |
| CVE-2025-20637 | In network HW, there is a possible system hang due to an uncaught exception. This could lead to remote denial of service with... |
| CVE-2025-20663 | In wlan AP driver, there is a possible information disclosure due to an uncaught exception. This could lead to remote (proxim... |
| CVE-2025-20664 | In wlan AP driver, there is a possible information disclosure due to an uncaught exception. This could lead to remote (proxim... |
| CVE-2025-24836 | Qardio Heart Health IOS and Android Application and QardioARM A100 Uncaught Exception |
| CVE-2025-24883 | go-ethereum has a DoS via malicious p2p message |
| CVE-2025-29785 | quic-go Has Panic in Path Probe Loss Recovery Handling |
| CVE-2025-3083 | Malformed MongoDB wire protocol messages may cause mongos to crash |
| CVE-2025-32944 | PeerTube User Import Authenticated Persistent Denial of Service |
| CVE-2025-35436 | CISA Thorium account verification email error handling |
| CVE-2025-36539 | AVEVA PI Data Archive Uncaught Exception |
| CVE-2025-3891 | Mod_auth_openidc: dos via empty post in mod_auth_openidc with oidcpreservepost enabled |
| CVE-2025-43855 | tRPC 11 WebSocket DoS Vulnerability |
| CVE-2025-44019 | AVEVA PI Data Archive Uncaught Exception |
| CVE-2025-47281 | Kyverno's Improper JMESPath Variable Evaluation Leads to Denial of Service |
| CVE-2025-47944 | Multer vulnerable to Denial of Service from maliciously crafted requests |
| CVE-2025-48430 | Uncaught Exception (CWE-248) in the Command Centre Server allows an Authorized and Privileged Operator to crash the Command C... |
| CVE-2025-48907 | Deserialization vulnerability in the IPC module Impact: Successful exploitation of this vulnerability may affect availability... |
| CVE-2025-48942 | vLLM DOS: Remotely kill vllm over http with invalid JSON schema |
| CVE-2025-48943 | vLLM allows clients to crash the openai server with invalid regex |
| CVE-2025-48997 | Multer vulnerable to Denial of Service via unhandled exception |
| CVE-2025-53365 | MCP Python SDK has Unhandled Exception in Streamable HTTP Transport ,Leading to Denial of Service |
| CVE-2025-53366 | MCP SDK Vulnerable to FastMCP Server Validation Error, Leading to Denial of Service |
| CVE-2025-53620 | Crashing any Qwik Server |
| CVE-2025-54134 | HAX CMS NodeJs's Improper Error Handling Leads to Denial of Service |
| CVE-2025-54777 | Uncaught exception issue exists in Multiple products in bizhub series. If a malformed file is imported as an S/MIME Email cer... |
| CVE-2025-55194 | Part-DB Persistent Denial of Service via Uncaught Exception from Misleading File Extension in Avatar Upload |
| CVE-2025-59014 | Denial of Service in TYPO3 Bookmark Toolbar |
| CVE-2025-59229 | Microsoft Office Denial of Service Vulnerability |
| CVE-2025-59462 | Denial-of-service (DoS) via delayed or missing client response |
| CVE-2025-59538 | Argo CD is Vulnerable to Unauthenticated Remote DoS via malformed Azure DevOps git.push webhook |
| CVE-2025-62370 | Alloy Core has a DoS vulnerability on `alloy_dyn_abi::TypedData` hashing |
| CVE-2025-66305 | Grav vulnerable to Denial of Service via Improper Input Handling in 'Supported' Parameter |
| CVE-2025-66578 | robrichards/xmlseclibs has an Libxml2 Canonicalization error which can bypass Digest/Signature validation |
| CVE-2025-67647 | SvelteKit Denial of service and possible SSRF when using prerendering |
| CVE-2025-7338 | Multer vulnerable to Denial of Service via unhandled exception from malformed request |
| CVE-2025-8870 | On affected platforms running Arista EOS, certain serial console input might result in an unexpected reload of the device. |
| CVE-2025-9124 | Rockwell Automation Compact GuardLogix® 5370 Denial-Of-Service Vulnerability |
НКЦКИ уязвимости
Бюллетени НКЦКИ - уязвимости ПО
| Идентификатор | Дата бюллетеня | Описание |
|---|---|---|
| VULN:20240216-65 | 16.02.2024 | Отказ в обслуживании в Consul Enterprise |
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.