Каталоги
В сервис интегрированы наиболее популярные публичных базы знаний:
- Сертификаты СЗИ - Государственный реестр сертифицированных средств защиты информации опубликованный Федеральной службой по техническому и экспортному контролю, может быть использован для контроля актуальности используемых СЗИ в организации.
- CVE уязвимости - общедоступная публичная база уязвимостей Common Vulnerabilities and Exposures (CVE). Миссия программы CVE заключается в выявлении, определении и каталогизации публично раскрываемых уязвимостей в сфере кибербезопасности. Для каждой уязвимости в каталоге существует одна запись CVE. Уязвимости обнаруживаются, затем присваиваются и публикуются организациями по всему миру, которые сотрудничают с программой CVE. Партнеры публикуют записи CVE для единообразного описания уязвимостей. Специалисты в области информационных технологий и кибербезопасности используют записи CVE, чтобы убедиться, что они обсуждают одну и ту же проблему, и координировать свои усилия по определению приоритетности и устранению уязвимостей.
- БДУ ФСТЭК уязвимости - раздел Уязвимости Банка данных уязвимостей опубликованная Федеральной службой по техническому и экспортному контролю совместно с Государственным научно-исследовательским испытательным институтом проблем технической защиты информации. Одной из целей создания банка данных угроз безопасности информации является объединение специалистов в области информационной безопасности для решения задач повышения защищенности информационных систем.
- НКЦКИ уязвимости - общедоступная публичная база уязвимостей Национального координационного центра по компьютерным инцидентам (НКЦКИ), обеспечивающего координацию деятельности субъектов КИИ по обнаружению, предупреждению, ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты.
- MITRE ATT&CK – Adversarial Tactics, Techniques & Common Knowledge – Тактики, техники и общеизвестные знания о злоумышленниках. Это основанная на реальных наблюдениях база знаний компании Mitre, содержащая описание тактик, приемов и методов, используемых киберпреступниками. База создана в 2013 году и регулярно обновляется, цель – составление структурированной матрицы используемых киберпреступниками приемов, чтобы упростить задачу реагирования на киберинциденты.
- БДУ ФСТЭК и Новая БДУ ФСТЭК – раздел Угрозы Банка данных угроз, опубликованный в 2015 году Федеральной службой по техническому и экспортному контролю и Государственным научно-исследовательским испытательным институтом проблем технической защиты информации, обязателен при моделировании угроз при построении систем защиты персональных данных, критической информационной инфраструктуры, государственных информационных систем.
CVE, БДУ ФСТЭК и НКЦКИ
Каталоги CVE уязвимости, БДУ ФСТЭК уязвимости и НКЦКИ уязвимости предоставляют дополнительный контент и обогащают информацией описание уязвимостей от сканеров в модуле Технические уязвимости.
Интерфейс каталогов идентичен и содержит следующие блоки:
- Метрики:
- Найденные уязвимости – отображает количество найденных в отчетах от сканеров уязвимостей которые связаны с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей);
- Уязвимые хосты – отображает количество хостов на которых обнаружены уязвимости связанные с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей).
- Табличную часть Каталог уязвимостей:
- Фильтр по полю Идентификатор - особенностью данного фильтра является автоматический разбор текста с последующим извлечением из текста идентификаторов. Для этого необходимо вставить произвольный текст с идентификаторами в поле и добавить в фильтр через кнопку плюс;
- Табличную часть с полями для каталогов CVE и БДУ ФСТЭК:
- Идентификатор - id уязвимости в базе уязвимостей;
- Описание - текстовое описание уязвимости;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- CVSS - числовая оценка уязвимости согласно источнику, с указанием даты выявления уязвимости экспертами, оценка отображается цветом согласно оценке CVSS 0.1 – 3.9 Low Зеленый,
4.0 – 6.9 Medium Желтый, 7.0 – 8.9 High Оранжевый, 9.0 – 10.0 Critical Красный.
- Табличную часть с полями для каталогов CVE :
- Дата бюллетеня - информация о дате публикации бюллетеня содержащего уязвимости;
- Идентификатор - id уязвимости в базе уязвимостей;
- Информация - текстовое описание уязвимости;
- Вектор атаки - локальный или сетевой вектор атаки;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- Наличие обновления - - флаг, данный статус отображается если база уязвимостей содержит информацию о наличии обновлений от производителя уязвимого ПО;
- Дата выявления - даты выявления уязвимости экспертами.
- Чекбокс «Только обнаруженные уязвимости» - устанавливает фильтр на табличную часть для отображения только обнаруженные уязвимости.
- Функционал для экспорта всех уязвимостей каталога.
- Для каталога добавляется функционал Варианты отображения:
- Бюллетени - изменяет отображение табличной части на реестр бюллетеней, отображает общее количество уязвимостей в бюллетени в поле Уязвимостей в бюллетени и статус по обнаружению в поле Обнаружено - данный статус отображается если хотя бы одна уязвимость из бюллетеня обнаружена в инфраструктуре.
- Уязвимости.
MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК
Данные из каталогов MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК могут использоваться для контекстного наполнения риска в модуле Риски.
Каждый из указанных каталогов сформирован по собственной схеме данных, которая не соответствует подходу оценки риска, используемому в сервисе. Но в основе своей указанные базы описывают все те же риски информационной безопасности, каждый под своим углом. Поэтому они добавлены в сервис и как отдельные компоненты и как основа для создания рисков, угроз или уязвимостей.
Каталоги могут использоваться в сервисе с целью:
- Облегчения процесса формирования рисков, угроз и уязвимостей;
- Обогащения информации по рискам (угрозам, уязвимостям) созданным в сервисе.
- Взгляда на компанию и оценку рисков через публичные каталоги угроз.
Сервис позволяет установить связь между объектами из каталогов и 3 типами объектов сервиса: угрозами, уязвимостями или рисками безопасности:
- Уязвимости могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK и способами реализации Новой БДУ ФСТЭК.
- Угрозы могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами и последствиями Новой БДУ ФСТЭК.
- Риски могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами, способами реализации и последствиями Новой БДУ ФСТЭК.
Такой широкий выбор возможных связей сделан потому, что объекты из каталогов угроз могут быть или угрозой или уязвимостью в контексте сервиса.
Например, УБИ.004 Угроза аппаратного сброса пароля BIOS из БДУ ФСТЭК в контексте сервиса является уязвимостью, особенностью активов типа Микропрограммное обеспечение, которая может привести к реализации угрозы Несанкционированного локального доступа к BIOS.
В большинстве случаев угрозы из БДУ ФСТЭК и техники из MITRE ATT@CK являются именно уязвимостями, использование которых ведет к реализации угроз безопасности, но бывают и исключения.
Для рисков, угроз и уязвимостей из базы Community связи с каталогами угроз уже установлены.
Связь с каталогом угроз может быть прямой или косвенной. Например, если уязвимость связана с угрозой из БДУ ФСТЭК то и все риски, в составе которых есть данная уязвимость будут автоматически связаны с угрозой из БДУ ФСТЭК.
Каталог БДУ ФСТЭК - это реестр рисков от банка данных угроз безопасности информации ФСТЭК России.
Каждая угроза содержит описание, рекомендации к каким типам активов может быть применена эта угроза, классификация по свойствам информации и вероятные источники угрозы. Дополнительно в блоке Связанные риски указаны связанные риски, а в блоке Каталоги указываются связи с записями из других каталогов.
Каталог Новая БДУ ФСТЭК от банка данных угроз безопасности информации ФСТЭК России содержит:
- матрицу Способы реализации (возникновения угроз) - каждая ячейка которых содержит описание поверхности атаки: группу способов, уровень возможностей нарушителя, возможные реализуемые угрозы, компоненты объектов воздействия, возможные меры защиты;
- Негативные последствия - перечень негативных последствий в классификации ФСТЭК в виде кода и описания;
- Угрозы - реестр угроз с описанием, каждая угроза содержит возможные объекты воздействия и возможные способы реализации угроз;
- Объекты - перечень объектов последствий с описанием и компонентами которые могут входить в состав объекта;
- Компоненты - перечень компонентов объектов воздействия с указанием объектов воздействия на которых они могут располагаться;
- Нарушители - уровни возможностей нарушителей классифицированные по возможностям и компетенции;
- Меры защиты - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя.
Каталог MITRE ATT&CK содержит:
- Матрица - содержит тактики и техники злоумышленника, позволяет на основании тактики или техники создать риск или уязвимость, в матрице указаны связи с рисками в базе Community и с рисками в базе команды;
- Тактики - направления действия нарушителя на том или ином этапе cyberkillchane;
- Техники - конкретные действия нарушителя для достижения цели на конкретном шаге cyberkillchane;
- Контрмеры - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя;
- Преступные группы - описание APT группировок и их особенности и модель поведения;
- Инструменты - ПО используемое нарушителями для вредоносного воздействия.
Матрицы могут использоваться для построения тепловой карты рисков наложенных на матрицы угроз и уязвимостей.
Сертификаты СЗИ
Каталог Сертификаты СЗИ может быть использован в модуле Активы как источник информации для поля Номер сертификата СЗИ. В модуле активов есть возможность вести реестр СЗИ используемых в организации, в свою очередь каталог сертификатов СЗИ позволяет связать актив с каталогом через поле актива Номер сертификата СЗИ.
Каталог Сертификаты СЗИ содержит реестр с информацией о номере сертификата, сроке действия сертификата и сроке поддержки СЗИ. Кроме реестра каталог содержит следующие метрики:
- Имеющиеся СЗИ - отображает количество активов у которых заполнено поле Номер сертификата СЗИ;
- Скоро будут просрочены - отображает количество активов у которых срок действия сертификата меньше 90 календарных дней;
- Просроченные сертификаты - отображает количество активов у которых срок действия сертификата уже истек;
- Истекшая поддержка - отображает количество активов у которых срок действия сертификата уже истек.
Каждая метрика ведёт в реестр активов и выводит список СЗИ, отфильтрованный по соответствующим параметрам.
Нажав на просмотр сертификата, мы увидим карточку сертификата, сервис хранит информацию о следующих данных:
- Номер сертификата;
- Дата внесения в реестр;
- Срок действия сертификата;
- Срок окончания тех. поддержки;
- Наименование средства (шифр);
- Схема сертификации;
- Испытательная лаборатория;
- Орган по сертификации;
- Заявитель;
- Наименования документов соответствия;
- Реквизиты заявителя.
Реестр обновляется автоматически один раз в месяц.
Куда я попал?
CWE-259
CWE-259: Use of Hard-coded Password
Идентификаторы ФСТЭК уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| BDU:2014-00001 | Уязвимость микропрограммного обеспечения программируемого логического контроллера Schneider Electric Modicon Quantum, позволяющая злоумышленнику получить авторизованный доступ к устройству |
| BDU:2014-00048 | Уязвимость операционной системы Zyxel ZLD, позволяющая удаленному злоумышленнику повысить свои привилегии |
| BDU:2015-10245 | Уязвимость микропрограммного обеспечения маршрутизатора D-Link DSR-500, позволяющая злоумышленнику получить права администратора |
| BDU:2015-11069 | Уязвимость микропрограммного обеспечения беспроводных шлюзов Sierra Wireless AirLink GX450, AirLink ES440, AirLink GX440, AirLink LS300, позволяющая нарушителю получить доступ к устройству с правами администратора |
| BDU:2015-11594 | Уязвимость модуля Schneider Electric Quantum Ethernet Module, позволяющая удалённому нарушителю получить привилегированный доступ к системе |
| BDU:2015-12233 | Уязвимость операционной системы ScreenOS, связанная с недостатками процедуры аутентификации, позволяющая нарушителю подключиться к устройству с правами администратора |
| BDU:2017-00008 | Уязвимость средства телеуправления в электроэнергетике SICAM PAS, позволяющая нарушителю получить доступ к базе данных |
| BDU:2017-01823 | Уязвимость средства автономного конфигурирования системы визуализации и управления "умным домом" U.motion Builder, вызванная использованием пароля, предустановленного по умолчанию, и позволяющая нарушителю обойти процедуру аутентификации |
| BDU:2017-02483 | Уязвимость операционной системы ОpenELEC и дистрибутива RasPlex, связанная с использованием предустановленных учетных данных, позволяющая нарушителю получить доступ к устройству |
| BDU:2019-00104 | Уязвимость операционной системы TeNIX программируемых логических контроллеров МФК1500 и МФК3000, позволяющая нарушителю получить полный доступ к системе |
| BDU:2019-00133 | Уязвимость программного обеспечения парковочных зарядных станций EVLink Parking, связанная с использованием предустановленных учетных данных, позволяющая нарушителю получить доступ к устройству |
| BDU:2019-00816 | Уязвимость встроенного программного обеспечения системы с числовым программным управлением CNC11 TITANIUM mini, позволяющая нарушителю получить полный доступ к системе |
| BDU:2019-01076 | Уязвимость средства для сбора информации об устройствах в сети Cisco Common Services Platform Collector, связанная с наличием предустановленной учетной записи, позволяющая нарушителю получить доступ к устройству |
| BDU:2020-03279 | Уязвимость устройства сбора и передачи данных ЭКОМ-3000, связанная с использованием предустановленных учетных данных, позволяющая нарушителю получить доступ к устройству |
| BDU:2020-05566 | Уязвимость реализации протокола взаимодействия между программным обеспечением "АРМ Релейщика" и программным обеспечением "Сервер связи" комплекса программ ЕКRASMS-SP, позволяющая нарушителю получить доступ к регистрационным данным пользователей |
| BDU:2020-05567 | Уязвимость компонентов term.arh и core.arh терминала микропроцессорного серии ЭКРА 200, позволяющая нарушителю получить доступ к конфиденциальной информации и возможность создавать новые конфигурационные файлы |
| BDU:2021-00190 | Уязвимость операционной систем QES, связанная с использованием жёсткого кодирования паролей, позволяющая нарушителю повысить свои привилегии и выполнить произвольный код |
| BDU:2021-03115 | Уязвимость процедуры настройки PPPoE микропрограммного обеспечения маршрутизатора D-Link DIR-2640-US, позволяющая нарушителю измененить информацию о маршрутизации, осуществлять перехват DNS-запросов и проводить фишинговые атаки |
| BDU:2021-03978 | Уязвимость программного средства защиты информации "Блокхост-Сеть К", позволяющая нарушителю получить доступ к защищаемой информации |
| BDU:2021-04994 | Уязвимость программного средства контроля сети Moxa MXView, связанная с использованием жёсткого кодирования паролей, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2021-05549 | Уязвимость микропрограммного обеспечения программируемого логического контроллера ioLogik, связанная с жестким кодированием паролей, позволяющая нарушителю повысить свои привилегии и выполнить произвольный код |
| BDU:2022-00456 | Уязвимость микропрограммного обеспечения Wi-Fi роутеров NETGEAR RBK352, RBR350 и RBS350, связанная с использованием предустановленных учетных данных, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2022-00457 | Уязвимость микропрограммного обеспечения Wi-Fi роутеров NETGEAR RBK352, RBR350 и RBS350, связанная с использованием предустановленных учетных данных, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2022-00458 | Уязвимость микропрограммного обеспечения Wi-Fi роутеров NETGEAR XR1000, связанная с использованием предустановленных учетных данных, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2022-03721 | Уязвимость FTP-сервера Titan FTP Server NextGen, связанная с использованием предустановленных учетных данных для учетной записи sa, позволяющая нарушителю повысить свои привилегии |
| BDU:2022-04242 | Уязвимость микропрограммного обеспечения маршрутизаторов InHand Networks InRouter302, связанная с использованием предустановленных учетных данных, позволяющая нарушителю выполнить произвольные действия |
| BDU:2022-05330 | Уязвимость компонента /etc/shadow.sample микропрограммного обеспечения роутеров TOTOLINK A810R, позволяющая нарушителю повысить свои привилегии |
| BDU:2022-06877 | Уязвимость SCADA-системы "СКАДА-НЕВА", связанная с использованием предустановленных учетных данных, позволяющая нарушителю повысить свои привилегии в системе |
| BDU:2023-00840 | Уязвимость программного обеспечения для программирования ПЛК Mitsubishi Electric GX Works3, связанная c возможностью использования жестко закодированных учетных данных, позволяющая нарушителю получить информацию о файле проекта для модулей безопаснос... |
| BDU:2023-00950 | Уязвимость ПЛК MKLogic-500, связанная с использованием предустановленных учетных данных, позволяющая нарушителю получить доступ к содержимому FTP-сервера |
| BDU:2023-01472 | Уязвимость программного обеспечения для программирования ПЛК Mitsubishi Electric GX Works3, связанная c возможностью использования жестко закодированных учетных данных, позволяющая нарушителю получить доступ к защищаемой информации |
| BDU:2023-01779 | Уязвимость клиент-серверного приложения для управления источниками бесперебойного питания RCCMD, связанная с использованием предустановленных учетных данных, позволяющая нарушителю выполнить произвольный код или получить полный контроль над приложени... |
| BDU:2023-02267 | Уязвимость сборщика данных Fluent Fluentd и его браузерного менеджера fluentd-ui, связанная с использованием по умолчанию стандартного пароля, позволяющая нарушителю выполнить произвольный код |
| BDU:2023-02713 | Уязвимость программного обеспечения парковочных зарядных станций EVlink City. EVlink Parking и EVlink Smart Wallbox, связанная с использованием жёсткого кодирования паролей, позволяющая нарушителю, получить несанкционированные административные привил... |
| BDU:2023-02881 | Уязвимость компонента Edge Gateway системы бизнес-телефонии MiVoice Connect VoIP-устройств Mitel, позволяющая нарушителю вносить произвольные изменения в конфигурацию и выполнять произвольные команды |
| BDU:2023-03038 | Уязвимость функционала FTP-сервера микропрограммного обеспечения программируемых логических контроллеров MELSEC RJ71EIP91, SW1DNN-EIPCT-BD, FX5-ENET/IP, SW1DNN-EIPCTFX5-BD, позволяющая нарушителю получить несанкционированный доступ к защищаемой инфор... |
| BDU:2023-03249 | Уязвимость инструмента настройки среды Kubernetes для разработки и тестирования приложений minikube, связанная с раскрытием информации, позволяющая нарушителю повысить свои привилегии |
| BDU:2023-03352 | Уязвимость операционных систем FortiOS и прокси-сервера для защиты от интернет-атак FortiProxy, связанная с ошибками процедуры подтверждения подлинности сертификата, позволяющая нарушителю реализовать атаку типа "человек посередине" |
| BDU:2023-05422 | Уязвимость программного средства интеграции Google Maps API Super Store Finder, связанная с использованием предустановленных учетных данных, позволяющая нарушителю получить доступ к панели администрирования |
| BDU:2023-05904 | Уязвимость микропрограммного обеспечения WI-FI роутеров Juplink RX4-1500, связанная с использованием предустановленных учетных данных, позволяющая нарушителю повысить свои привилегии |
| BDU:2023-08131 | Уязвимость микропрограммного обеспечения контроллеров для управления насосными станциями Osprey Pump Controller, позволяющая нарушителю получить полный доступ к веб-интерфейсу управления устройства |
| BDU:2024-02208 | Уязвимость микропрограммного обеспечения программируемых логических контроллеров UniLogic Studio серии UniStream, связанная с использованием предустановленных учетных данных, позволяющая нарушителю получить несанкционированный доступ к защищаемой инф... |
| BDU:2024-03471 | Уязвимость системы мониторинга и управления источниками бесперебойного питания PowerPanel Business, связанная с использованием предустановленных учетных данных, позволяющая нарушителю повысить свои привилегии |
| BDU:2024-04182 | Уязвимость компонента /web_cste/cgi-bin/product.ini службы telnet микропрограммного обеспечения беспроводной точки доступа TOTOLINK CP900L, позволяющая нарушителю войти с систему с привилегиями root |
| BDU:2024-04297 | Уязвимость гиперконвергентной инфраструктуры IBM Storage Fusion HCI, связанная с использованием жестко закодированных учетных данных, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2024-04395 | Уязвимость системы контроля доступа и мониторинга событий LenelS2 NetBox, связанная с использованием жестко закодированных учетных данных, позволяющая нарушителю обойти процедуру аутентификации |
| BDU:2024-04751 | Уязвимость компонента /etc/passwd микропрограммного обеспечения маршрутизаторов D-Link DIR-605L, позволяющая нарушителю получить доступ к системе с правами root |
| BDU:2024-04960 | Уязвимость микропрограммного обеспечения коммуникационного шлюза SIMATIC CN 4100, связанная с использованием предустановленных учетных данных, позволяющая нарушителю получить несанкционированный доступ к устройству с правами root-пользователя |
| BDU:2024-04980 | Уязвимость файла image.bin микропрограммного обеспечения промышленного преобразователя последовательных интерфейсов в Ethernet Westermo EDW-100, позволяющая нарушителю раскрыть информацию о имени пользователя и пароле для учетной записи root |
| BDU:2024-05050 | Уязвимость системы визуализации и управления промышленными процессами mySCADA myPRO, связанная с использованием предустановленных учетных данных, позволяющая нарушителю получить доступ к системе |
| BDU:2024-05968 | Уязвимость службы SSH операционной системы SmartOS WI-Fi маршрутизаторов AdTran SRG 834-5, позволяющая нарушителю выполнить произвольные команды операционной системы с привилегиями корневого уровня |
| BDU:2024-05969 | Уязвимость службы SSH операционной системы SmartOS WI-Fi маршрутизаторов AdTran SRG 834-5, позволяющая нарушителю выполнить произвольные команды операционной системы |
| BDU:2024-06006 | Уязвимость службы telnet микропрограммного обеспечения маршрутизаторов D-Link DIR-300, позволяющая нарушителю получить полный контроль над устройством |
| BDU:2024-08575 | Уязвимость интерфейса командной строки микропрограммного обеспечения межсетевых экранов Cisco Firepower Threat Defense (FTD), позволяющая нарушителю получить несанкционированный доступ на чтение, изменение или удаление данных или вызвать отказ в обсл... |
| BDU:2025-02063 | Уязвимость микропрограммного обеспечения маршрутизаторов Tenda W18E, связанная с использованием жестко закодированных учетных данных, позволяющая нарушителю получить несанкционированный доступ к консоли управления с правами администратора |
| BDU:2025-04920 | Уязвимость службы Telnet микропрограммного обеспечения роутеров TOTOLINK A810R, позволяющая нарушителю раскрыть защищаемую информацию |
| BDU:2025-06465 | Уязвимость платформы управления политиками соединений Cisco Identity Services Engine (ISE), связанная с использованием жестко закодированных учетных данных, позволяющая нарушителю изменить конфигурацию программного обеспечения |
| BDU:2025-07370 | Уязвимость микропрограммного обеспечения маршрутизаторов TOTOLINK T10, связанная с использованием предустановленных учетных данных, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2025-09260 | Уязвимость сетевой операционной системы SmartFabric OS10, связанная с использованием предустановленных учетных данных, позволяющая нарушителю повысить свои привилегии |
| BDU:2025-09330 | Уязвимость функции g_F_n_GenPassForQlync микропрограммного обеспечения IP-камеры D-Link DCS-7517, позволяющая нарушителю оказать воздействие на конфиденциальность защищаемой информации |
| BDU:2025-09781 | Уязвимость файла /etc/shadow микропрограммного обеспечения маршрутизатора LB-LINK BL-AC3600, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2025-10203 | Уязвимость микропрограммного обеспечения маршрутизаторов Tenda AC20, связанная с использованием жестко закодированных учетных данных, позволяющая нарушителю получить несанкционированный доступ к устройству |
| BDU:2025-10880 | Уязвимость административного интерфейса микропрограммного обеспечения маршрутизаторов Tenda F1202, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-11396 | Уязвимость реализации протокола SSH программного обеспечения для управления светофорами Q-Free MaxTime, позволяющая нарушителю повысить свои привилегии и выполнить произвольный код |
| BDU:2025-13329 | Уязвимость сценария force_upgrade.sh микропрограммного обеспечения IP-камер Tenda RP3 Pro, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2025-14590 | Уязвимость микропрограммного обеспечения IP-камеры Apeman ID71, связанная с использованием жестко закодированных учетных данных, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2026-00178 | Уязвимость программного обеспечения для централизованного управления сетевой инфраструктурой Ruckus Network Director, связанная с использованием жестко закодированных учетных данных, позволяющая нарушителю повысить свои привилегии и получить доступ к... |
| BDU:2026-00226 | Уязвимость операционной системы FydeOS, связанная с возможностью использования жёстко заданных учётных данных, позволяющая нарушителю повысить свои привилегии и выполнить произвольный код |
Идентификаторы CVE уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| CVE-2012-5862 | Sinapsi eSolar Hard-Coded Password |
| CVE-2014-125030 | taoeffect Empress hard-coded password |
| CVE-2014-2363 | Morpho Itemiser 3 Hard-Coded Credential |
| CVE-2014-5405 | Hospira MedNet Use of Hard-coded Password |
| CVE-2014-5431 | Baxter SIGMA Spectrum Infusion System version 6.05 (model 35700BAX) with wireless battery module (WBM) version 16 contains a... |
| CVE-2014-5434 | Baxter SIGMA Spectrum Infusion System version 6.05 (model 35700BAX) with wireless battery module (WBM) version 16 has a defau... |
| CVE-2015-3953 | Hard-coded accounts may be used to access Hospira Plum A+ Infusion System version 13.4 and prior, Plum A+3 Infusion System ve... |
| CVE-2016-9358 | A Hard-Coded Passwords issue was discovered in Marel Food Processing Systems M3000 terminal associated with the following sys... |
| CVE-2017-20039 | SICUNET Access Controller hard-coded password |
| CVE-2017-6022 | A hard-coded password issue was discovered in Becton, Dickinson and Company (BD) PerformA, Version 2.0.14.0 and prior version... |
| CVE-2017-6039 | A Use of Hard-Coded Password issue was discovered in Phoenix Broadband PowerAgent SC3 BMS, all versions prior to v6.87. Use o... |
| CVE-2018-25069 | Netis Netcore Router hard-coded password |
| CVE-2018-8870 | Medtronic MyCareLink Patient Monitor Use of Hard-coded Password |
| CVE-2019-10881 | Default hidden Privileged Account Vulnerability in multiple XEROX devices |
| CVE-2019-13530 | Philips IntelliVue WLAN, portable patient monitors, WLAN Version A, Firmware A.03.09, WLAN Version A, Firmware A.03.09, Part... |
| CVE-2019-3908 | Premisys Identicard version 3.1.190 stores backup files as encrypted zip files. The password to the zip is hard-coded and unc... |
| CVE-2020-12012 | Baxter ExactaMix EM 2400 & EM 1200, Versions ExactaMix EM2400 Versions 1.10, 1.11, 1.13, 1.14, ExactaMix EM1200 Versions 1.1,... |
| CVE-2020-12016 | Baxter ExactaMix EM 2400 & EM 1200, Versions ExactaMix EM2400 Versions 1.10, 1.11, 1.13, 1.14, ExactaMix EM1200 Versions 1.1,... |
| CVE-2020-12037 | Baxter PrismaFlex all versions, PrisMax all versions prior to 3.x, The affected devices do not implement data-in-transit encr... |
| CVE-2020-12039 | Baxter Sigma Spectrum Infusion Pumps Sigma Spectrum Infusion System v's6.x model 35700BAX & Baxter Spectrum Infusion System v... |
| CVE-2020-12045 | The Baxter Spectrum WBM (v17, v20D29, v20D30, v20D31, and v22D24) when used in conjunction with a Baxter Spectrum v8.x (model... |
| CVE-2020-12047 | The Baxter Spectrum WBM (v17, v20D29, v20D30, v20D31, and v22D24), when used with a Baxter Spectrum v8.x (model 35700BAX2) in... |
| CVE-2020-2499 | Hard-coded Password Vulnerability in QES |
| CVE-2020-5351 | Dell EMC Data Protection Advisor versions 6.4, 6.5 and 18.1 contain an undocumented account with limited privileges that is p... |
| CVE-2020-7590 | A vulnerability has been identified in DCA Vantage Analyzer (All versions < V4.5 are affected by CVE-2020-7590. In addition,... |
| CVE-2021-21818 | A hard-coded password vulnerability exists in the Zebra IP Routing Manager functionality of D-LINK DIR-3040 1.13B03. A specia... |
| CVE-2021-22729 | A CWE-259: Use of Hard-coded Password vulnerability exists in EVlink City (EVC1S22P4 / EVC1S7P4 all versions prior to R8 V3.4... |
| CVE-2021-27254 | This vulnerability allows network-adjacent attackers to bypass authentication on affected installations of NETGEAR R7800. Aut... |
| CVE-2021-27440 | The software contains a hard-coded password it uses for its own inbound authentication or for outbound communication to exter... |
| CVE-2021-27452 | The software contains a hard-coded password that could allow an attacker to take control of the merging unit using these hard... |
| CVE-2021-28813 | Insufficiently Protected Credentials Vulnerability in QSW-M2116P-2T2S and QuNetSwitch |
| CVE-2021-32521 | QSAN Storage Manager, XEVO, SANOS - Use of Hard-coded Password |
| CVE-2021-32525 | QSAN Storage Manager - Use of Hard-coded Password-2 |
| CVE-2021-34601 | Bender Charge Controller: Hardcoded Credentials in Charge Controller |
| CVE-2021-36312 | Dell EMC CloudLink 7.1 and all prior versions contain a Hard-coded Password Vulnerability. A remote high privileged attacker,... |
| CVE-2021-38456 | Moxa MXview Network Management Software |
| CVE-2022-22144 | A hard-coded password vulnerability exists in the libcommonprod.so prod_change_root_passwd functionality of TCL LinkHub Mesh... |
| CVE-2022-26388 | Use of Hard-Coded Password Vulnerability in ELI Electrocardiograph Devices |
| CVE-2022-27172 | A hard-coded password vulnerability exists in the console infactory functionality of InHand Networks InRouter302 V3.5.37. A s... |
| CVE-2022-29825 | Use of Hard-coded Password vulnerability in Mitsubishi Electric GX Works3 versions from 1.000A to 1.090U, GT Designer3 Versio... |
| CVE-2022-29831 | Use of Hard-coded Password vulnerability in Mitsubishi Electric Corporation GX Works3 versions from 1.015R to 1.095Z allows a... |
| CVE-2022-41653 | Daikin SVMPC1 version 2.1.22 and prior and SVMPC2 version 1.2.3 and prior are vulnerable to an attacker obtaining user login... |
| CVE-2022-45444 | CVE-2022-45444 |
| CVE-2023-0808 | Deye/Revolt/Bosswerk Inverter Access Point Setting hard-coded password |
| CVE-2023-1944 | [minikube] ssh server with default password |
| CVE-2023-2061 | Authentication bypass vulnerability in MELSEC iQ-R Series / iQ-F Series EtherNet/IP Modules |
| CVE-2023-23770 | Motorola MBTS Site Controller accepts hard-coded backdoor password. The Motorola MBTS Site Controller Man Machine Interface (... |
| CVE-2023-23771 | Motorola MBTS Base Radio accepts hard-coded backdoor password. The Motorola MBTS Base Radio Man Machine Interface (MMI), allo... |
| CVE-2023-2645 | USR USR-G806 Web Management Page hard-coded password |
| CVE-2023-2799 | cnoa OA hard-coded password |
| CVE-2023-28895 | Hard-coded password for access to power controller chip memory |
| CVE-2023-29103 | A vulnerability has been identified in SIMATIC Cloud Connect 7 CC712 (All versions >= V2.0 < V2.1), SIMATIC Cloud Connect 7 C... |
| CVE-2023-32145 | D-Link DAP-1360 Hardcoded Credentials Authentication Bypass Vulnerability |
| CVE-2023-3237 | OTCMS hard-coded password |
| CVE-2023-41030 | Juplink RX4-1500 Hard-coded Credential Vulnerability |
| CVE-2023-41713 | SonicOS Use of Hard-coded Password vulnerability in the 'dynHandleBuyToolbar' demo function. |
| CVE-2023-46685 | A hard-coded password vulnerability exists in the telnetd functionality of LevelOne WBR-6013 RER4_A_v3411b_2T2R_LEV_09_170623... |
| CVE-2023-50948 | IBM Storage Fusion HCI information disclosure |
| CVE-2023-51629 | D-Link DCS-8300LHV2 ONVIF Hardcoded PIN Authentication Bypass Vulnerability |
| CVE-2023-5222 | Viessmann Vitogate 300 Web Management Interface vitogate.cgi isValidUser hard-coded password |
| CVE-2024-11026 | Intelligent Apps Freenow App Keystore SSL.java hard-coded password |
| CVE-2024-11630 | E-Lins H685/H685f/H700/H720/H750/H820/H820Q/H820Q0/H900 OEM Backend hard-coded credentials |
| CVE-2024-1228 | Hardcoded password in Eurosoft Przychodnia |
| CVE-2024-13688 | Admin and Site Enhancements (ASE) < 7.6.10 - Password Protection Bypass |
| CVE-2024-20412 | A vulnerability in Cisco Firepower Threat Defense (FTD) Software for Cisco Firepower 1000, 2100, 3100, and 4200 Series could... |
| CVE-2024-2197 | Chirp Systems Chirp Access Use of Hard-coded Password |
| CVE-2024-21990 | Default Privileged Account Credentials Vulnerability in ONTAP Select Deploy administration utility |
| CVE-2024-2420 | LenelS2 NetBox Hardcoded Credentials |
| CVE-2024-26196 | Microsoft Edge for Android (Chromium-based) Information Disclosure Vulnerability |
| CVE-2024-27164 | Hardcoded credentials |
| CVE-2024-27774 | Unitronics Unistream Unilogic – Versions prior to 1.35.227 CWE-259: Use of Hard-coded Password |
| CVE-2024-28010 | Use of Hard-coded Password in NEC Corporation Aterm WG1800HP4, WG1200HS3, WG1900HP2, WG1200HP3, WG1800HP3, WG1200HS2, WG1900H... |
| CVE-2024-28023 | A vulnerability exists in the message queueing mechanism that if exploited can lead to the exposure of resources or function... |
| CVE-2024-29011 | Use of hard-coded password in the GMS ECM endpoint leading to authentication bypass vulnerability. This issue affects GMS: 9... |
| CVE-2024-32741 | A vulnerability has been identified in SIMATIC CN 4100 (All versions < V3.0). The affected device contains hard coded passwor... |
| CVE-2024-33625 | CyberPower PowerPanel business Use of Hard-coded Password |
| CVE-2024-34025 | CyberPower PowerPanel business Use of Hard-coded Password |
| CVE-2024-3699 | Hardcoded password in drEryk Gabinet |
| CVE-2024-3700 | Hardcoded password in Estomed Sp. z o.o. Simple Care software |
| CVE-2024-39585 | Dell SmartFabric OS10 Software, version(s) 10.5.5.4 through 10.5.5.10 and 10.5.6.x, contain(s) an Use of Hard-coded Password... |
| CVE-2024-43423 | Dover Fueling Solutions ProGauge MAGLINK LX CONSOLE Use of Hard-coded Password |
| CVE-2024-4708 | mySCADA myPRO Use of Hard-coded Password |
| CVE-2024-48831 | Dell SmartFabric OS10 Software, version(s) 10.5.6.x, contain(s) a Use of Hard-coded Password vulnerability. An unauthenticate... |
| CVE-2024-4996 | Hardcoded Password in Wapro ERP Desktop |
| CVE-2024-5275 | Hard-coded password in FileCatalyst Direct 3.8.10 Build 138 TransferAgent (and earlier) and FileCatalyst Workflow 5.1.6 Build... |
| CVE-2024-7155 | TOTOLINK A3300R shadow.sample hard-coded password |
| CVE-2024-7159 | TOTOLINK A3600R Telnet Service product.ini hard-coded password |
| CVE-2024-7170 | TOTOLINK A3000RU product.ini hard-coded password |
| CVE-2024-7216 | TOTOLINK LR1200 shadow.sample hard-coded password |
| CVE-2024-7332 | TOTOLINK CP450 Telnet Service product.ini hard-coded password |
| CVE-2024-8580 | TOTOLINK AC1200 T8 shadow.sample hard-coded password |
| CVE-2025-1100 | A CWE-259 "Use of Hard-coded Password" for the root account in Q-Free MaxTime less than or equal to version 2.11.0 allows an... |
| CVE-2025-11126 | Apeman ID71 system.ini hard-coded credentials |
| CVE-2025-11284 | Zytec Dalian Zhuoyun Technology Central Authentication Service HTTP Header git hard-coded password |
| CVE-2025-11643 | Tomofun Furbo 360/Furbo Mini MQTT Client Certificate furbo_img hard-coded credentials |
| CVE-2025-11649 | Tomofun Furbo 360/Furbo Mini Root Account hard-coded password |
| CVE-2025-11666 | Tenda RP3 Pro Firmware Update force_upgrade.sh hard-coded password |
| CVE-2025-12676 | KiotViet Sync <= 1.8.5 - Use of Hard-coded Password to Authorization Bypass |
| CVE-2025-13252 | shsuishang ShopSuite ModulithShop RSA/OAuth2/Database hard-coded credentials |
| CVE-2025-1879 | i-Drive i11/i12 APK hard-coded credentials |
| CVE-2025-20286 | ISE on AWS Static Credential |
| CVE-2025-2322 | 274056675 springboot-openai-chatgpt OpenController.java hard-coded credentials |
| CVE-2025-2342 | IROAD X5 Mobile App API Endpoint hard-coded credentials |
| CVE-2025-2343 | IROAD Dash Cam X5/Dash Cam X6 Device Pairing hard-coded credentials |
| CVE-2025-2402 | Hard-coded password for object store of KNIME Business Hub |
| CVE-2025-2555 | Audi Universal Traffic Recorder App FTP Credentials hard-coded password |
| CVE-2025-2556 | Audi UTR Dashcam Video Stream hard-coded credentials |
| CVE-2025-36609 | Dell SmartFabric OS10 Software, versions prior to 10.6.0.5, contains a Use of Hard-coded Password vulnerability. A low privil... |
| CVE-2025-3920 | Hard-coded Password in SUR-FBD CMMS |
| CVE-2025-44955 | RUCKUS Network Director (RND) before 4.5 allows jailed users to obtain root access vis a weak, hardcoded password. |
| CVE-2025-47818 | Flock Safety Gunshot Detection devices before 1.3 have a hard-coded password for a connection. |
| CVE-2025-47821 | Flock Safety Gunshot Detection devices before 1.3 have a hardcoded password for a system. |
| CVE-2025-47823 | Flock Safety LPR (License Plate Reader) devices with firmware through 2.2 have a hardcoded password for a system. |
| CVE-2025-5379 | NuCom NC-WR744G Console Application hard-coded credentials |
| CVE-2025-54754 | Cognex In-Sight Explorer and In-Sight Camera Firmware Use of Hard-coded Password |
| CVE-2025-57788 | Unauthorized API Access Risk |
| CVE-2025-58081 | Use of hard-coded password issue/vulnerability in SS1 Ver.16.0.0.10 and earlier (Media version:16.0.0a and earlier) allows a... |
| CVE-2025-6139 | TOTOLINK T10 shadow.sample hard-coded password |
| CVE-2025-6932 | D-Link DCS-7517 Qlync Password Generation httpd g_F_n_GenPassForQlync hard-coded password |
| CVE-2025-7079 | mao888 bluebell-plus JWT Token jwt.go hard-coded password |
| CVE-2025-7080 | Done-0 Jank JWT Token jwt_utils.go hard-coded password |
| CVE-2025-7453 | saltbo zpan JSON Web Token token.go NewToken hard-coded password |
| CVE-2025-7564 | LB-LINK BL-AC3600 shadow hard-coded credentials |
| CVE-2025-7577 | Teledyne FLIR FB-Series O/FLIR FH-Series ID hard-coded password |
| CVE-2025-8231 | D-Link DIR-890L UART Port rgbin hard-coded credentials |
| CVE-2025-8730 | Belkin F9K1009/F9K1010 Web Interface hard-coded credentials |
| CVE-2025-8974 | linlinjava litemall JSON Web Token JwtHelper.java hard-coded credentials |
| CVE-2025-9091 | Tenda AC20 shadow hard-coded credentials |
| CVE-2025-9309 | Tenda AC10 MD5 Hash shadow hard-coded credentials |
| CVE-2025-9310 | yeqifu carRental Druid login.html hard-coded credentials |
| CVE-2025-9380 | FNKvision Y215 CCTV Camera Firmware passwd hard-coded credentials |
| CVE-2025-9725 | Cudy LT500E Web shadow hard-coded password |
| CVE-2025-9731 | Tenda AC9 Administrative shadow hard-coded credentials |
| CVE-2025-9778 | Tenda W12 Administrative shadow hard-coded credentials |
| CVE-2025-9806 | Tenda F1202 Administrative shadow hard-coded credentials |
НКЦКИ уязвимости
Бюллетени НКЦКИ - уязвимости ПО
| Идентификатор | Дата бюллетеня | Описание |
|---|---|---|
| VULN:20240503-1 | 03.05.2024 | Обход безопасности в SonicWall GMS |
| VULN:20240513-38 | 13.05.2024 | Повышение привилегий в PowerPanel |
| VULN:20240517-1 | 17.05.2024 | Получение конфиденциальной информации в SIMATIC CN 4100 |
| VULN:20240617-63 | 17.06.2024 | Получение конфиденциальной информации в EDW-100 |
| VULN:20240708-23 | 08.07.2024 | Выполнение произвольного кода в myPRO |
| VULN:20241111-20 | 11.11.2024 | Получение конфиденциальной информации в Cisco Firepower Threat Defense Software for Firepower 1000, 2100, 3100 and 4200 Series |
| VULN:20250618-65 | 18.06.2025 | Получение конфиденциальной информации в Cisco Identity Services Engine on Cloud Platforms |
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.