Каждый день появляются новые уязвимости в программном обеспечении, которое мы используем в медицинских организациях: от систем управления базами данных и веб-порталов до программируемых логических контроллеров (ПЛК) в медицинском оборудовании и маршрутизаторов. Федеральная служба по техническому и экспортному контролю (ФСТЭК) ведёт Банк данных угроз (БнД УБИ), но для практической работы удобнее иметь под рукой сжатый перечень типовых уязвимостей с конкретными рекомендациями по устранению. В этой статье я собрал более 200 уязвимостей, актуальных для медицинских организаций, сгруппировав их по категориям. Вы узнаете, на что обратить внимание в первую очередь и как построить процесс управления уязвимостями, чтобы не пропустить критическую.
Почему медицинские организации – главная цель для злоумышленников
Медицинские данные стоят на чёрном рынке дороже банковских карт. Кроме того, медучреждения относятся к объектам критической информационной инфраструктуры (КИИ), поэтому утечка или блокировка информации может повлечь уголовную ответственность по ст. 274.1 УК РФ. Регуляторы (ФСТЭК, ФСБ, Роскомнадзор) при проверках обязательно запрашивают:
- перечень используемого ПО и оборудования;
- сведения о своевременности установки обновлений;
- наличие документально оформленного процесса управления уязвимостями.
Отсутствие такого процесса – прямое нарушение требований к защите информации (Приказ ФСТЭК № 21, требования к КИИ и 152-ФЗ).
Категории уязвимостей и их последствия (краткий чек-лист)
| Категория | Примеры (номера в нашем списке) | Последствия |
|---|---|---|
| Промышленные контроллеры (ПЛК), медицинское оборудование | Solar-Log, SIMATIC WinCC, QEMU | Остановка оборудования, искажение данных, угроза жизни пациентов |
| Веб-системы и порталы | 1С-Битрикс, SAP NetWeaver | Утечка персональных данных пациентов, захват сайта |
| Файловые серверы и службы | Serv-U File Server | Утечка конфиденциальных документов |
| Средства разработки и исполнения (Java) | Java Development Kit, JRE, JRockit | Полная компрометация сервера, удалённое выполнение кода |
| Браузеры и клиентское ПО | Firefox, Chrome, Internet Explorer, SeaMonkey, Thunderbird | Заражение рабочей станции через веб-сайт или письмо |
| Почтовые серверы и клиенты | Dovecot, Thunderbird | Отказ в обслуживании, чтение писем |
| СУБД | PostgreSQL, Oracle Database, MySQL | Утечка данных пациентов, разрушение баз |
| Сетевое оборудование (маршрутизаторы, контроллеры Wi-Fi) | D-Link DSR, Cisco WLC, Zyxel ZLD | Перехват трафика, отказ в обслуживании, удалённое управление |
| Операционные системы (Linux, Windows) | Ядро Linux, Windows TCP/IP, .NET Framework | Повышение привилегий, DoS, удалённое выполнение кода |
| Гипервизоры и виртуализация | VMware ESXi, Workstation, QEMU | Выход из гостевой ОС в хостовую, компрометация всей инфраструктуры |
ТОП-10 критических уязвимостей, которые нужно закрыть в первую очередь
Ниже приведены наиболее опасные уязвимости из нашего списка, которые реально эксплуатируются злоумышленниками.
| № | Наименование уязвимости | Затронутое ПО | Чем грозит | Что делать |
|---|---|---|---|---|
| 1 | Solar-Log – загрузка файлов без аутентификации | Solar-Log 3.1.1–3.1.66 | Выполнение произвольного кода, остановка системы мониторинга энергоснабжения (в т.ч. больниц) | Обновить до 3.1.1-67 |
| 2 | 1С-Битрикс – предсказуемый генератор паролей (mt_rand) | 1С-Битрикс до 11.5.6 | Получение кода сброса пароля любого пользователя, захват учётной записи администратора сайта | Обновить до 11.5.7+ |
| 3 | SIMATIC WinCC – доступ к конфиденциальной информации по HTTP | SIMATIC WinCC 5.0–7.2 | Неавторизованное чтение данных технологических процессов (давление, температура и пр.) | Обновить до 7.3 |
| 4 | Serv-U – утечка конфигурации и паролей | Serv-U до 15.0.0.0 | Получение всех паролей пользователей файлового сервера | Обновить до 15.0.0.1+ |
| 5 | Java – множественные уязвимости в компонентах AWT, JAX-WS, Security | JRE/JDK 1.5,1.6,1.7,1.8 | Удалённое выполнение произвольного кода, полный контроль над сервером | Установить последнюю версию Java (только LTS-версии) |
| 6 | GNU Bash – Shellshock (CVE-2014-6271, CVE-2014-7169) | Bash до 4.3 | Удалённое выполнение команд через переменные окружения (например, через CGI на веб-сервере) | Обновить Bash или установить патчи от разработчика ОС |
| 7 | OpenSSL – внедрение CCS (CVE-2014-0224) | OpenSSL до 1.0.1g, продукты Cisco | Перехват TLS-сессии, расшифровка трафика (в т.ч. VPN, HTTPS) | Обновить OpenSSL, для оборудования Cisco – установить обновления прошивки |
| 8 | VMware ESXi – переполнение буфера в драйвере XPDM | ESXi 4.0,4.1,5.0 | Повышение привилегий в гостевой ОС, отказ в обслуживании | Обновить до 4.6.1+ |
| 9 | D-Link DSR – обход аутентификации через /scgi-bin/platform.cgi | DSR-150,250,1000 (многие версии) | Получение прав администратора маршрутизатора | Обновить до рекомендованных версий (1.09B32 / 1.08B44 / 1.09B50) |
| 10 | Cisco Wireless LAN Controller – отказ в обслуживании через MLDv2 | WLC 7.2–7.6 | Перезагрузка контроллера, падение всей беспроводной сети больницы | Установить обновление Cisco (март 2014) |
Группировка по типам ПО и рекомендации по устранению
1. Промышленные контроллеры и SCADA (в т.ч. медицинское оборудование)
Используются в системах жизнеобеспечения, лабораторных анализаторах, томографах.
| Уязвимость | ПО | Меры устранения |
|---|---|---|
| Загрузка файлов без аутентификации | Solar-Log 3.1.1–3.1.66 | Обновить до 3.1.1-67 |
| Отсутствие парольной защиты CGI | Solar-Log 3.1.1–3.1.66 | Обновить до 3.1.1-67 |
| Доступ к конфигурации через HTTP | SIMATIC WinCC 5.0–7.2 | Обновить до 7.3 |
| Жёстко закодированный ключ шифрования | SIMATIC WinCC 5.0–7.2 | Обновить до 7.3 |
| DoS через ICMP-флуд | Fanuc 32i (станки с ЧПУ) | Фильтрация ICMP-трафика |
| Отсутствие аутентификации ARP | Fanuc 32i, Cisco IOS, Zyxel ZLD | Статическая ARP-таблица, arpwatch |
Рекомендация: Изолировать сегменты сети с медицинским оборудованием от общего интернета и пользовательских сетей. Использовать межсетевые экраны с ограничением доступа только к необходимым сервисам.
2. Веб-системы и CMS (порталы пациентов, сайты больниц)
| Уязвимость | ПО | Меры устранения |
|---|---|---|
| Уязвимость mt_rand | 1С-Битрикс до 11.5.6 | Обновить до 11.5.7+ |
| Обход контроля целостности | 1С-Битрикс до 12.5.7 | Обновить до 12.5.8+ |
| Чтение таблиц CUA | SAP NetWeaver до 7.20 | Установить SAP Security Note 1997455 |
| Межсайтовый скриптинг (XSS) | Serv-U до 15.0.1.20 | Обновить до 15.0.1.21+ |
| Получение исходных кодов сценариев | Serv-U до 15.1.0.480 | Обновить до 15.1.0.481+ |
Рекомендация: Регулярно обновлять CMS и плагины, использовать WAF (веб-межсетевой экран), проводить статический анализ кода перед вводом в эксплуатацию.
3. Java-платформа (многие медицинские ИС работают на Java)
Проблема: множественные уязвимости в подкомпонентах Deployment, AWT, JAX-WS, Security, 2D, JSSE, CORBA, Libraries, Sound, JavaFX, JAXP, JAAS, Networking, JNDI, Hotspot, JAXB, Serviceability.
Затронутые версии: JDK/JRE 1.5.0 update 55/61, 1.6.0 update 65/71, 1.7.0 update 45/51, 1.8.0.
Меры устранения: Установить последнюю поддерживаемую LTS-версию Java (на сегодня – 11, 17 или 21). Отключить неиспользуемые компоненты (JavaFX, Deployment). Использовать белые списки приложений.
4. Браузеры и почтовые клиенты (рабочие станции врачей)
Большинство уязвимостей – use-after-free, переполнение буфера, обход SOP.
| Продукт | Версии | Угрозы | Обновление |
|---|---|---|---|
| Internet Explorer | 6,7,8,9,10,11 | Ms14-010, Ms14-012, Ms14-035 (множественные) | Установить все критические обновления Windows (лучше перейти на Edge с Chromium) |
| Firefox | до 26,27,28 | XSS, выполнение кода через Web Workers, SVG-фильтры | Обновить до актуальной ESR-версии |
| Google Chrome | 33–37 | Use-after-free в Blink, целочисленные переполнения | Автообновление – обеспечить доступ к серверам Google или использовать корпоративный репозиторий |
| Thunderbird | до 24.4 | Аналогично Firefox | Обновить до актуальной версии |
| SeaMonkey | до 2.26 | – | Обновить |
Рекомендация: Внедрить принудительное обновление браузеров через систему централизованного управления (WSUS, SCCM, аналоги). Запретить использование устаревших версий.
5. СУБД (базы данных пациентов, учётные системы)
| СУБД | Уязвимые версии | Суть | Исправление |
|---|---|---|---|
| PostgreSQL | 8.3.x–8.3.23, 8.4.x–8.4.16, 9.0.x–9.0.12, 9.1.x–9.1.8, 9.2.x–9.2.3 | enum_recv (выход за границы) | Обновить до более новых версий |
| PostgreSQL | 9.0–9.15, 9.1–9.1.11, 9.2–9.2.6 | Повышение привилегий через функции валидатора | Обновить до 9.1.12, 9.2.7, 9.16 и выше |
| MySQL | 5.1.51–5.1.68, 5.5.10–5.5.30, 5.6.0–5.6.10 | Information Schema, DML | Обновить до 5.1.69, 5.5.31, 5.6.11+ |
| MySQL | 5.6.0–5.6.15, 5.5.0–5.5.35 | InnoDB, MyISAM, Partition, Replication и др. | Обновить до 5.6.16, 5.5.36 и выше |
| Oracle Database | 11.1.0.7, 11.2.0.3/0.4, 12.1.0.1 | Ядро БД – нарушение конфиденциальности | Применить патч из бюллетеня 1618213.1 |
6. Сетевое оборудование (маршрутизация, Wi-Fi)
| Устройство | Уязвимость | Исправление |
|---|---|---|
| D-Link DSR-150/250/1000 | Обход аутентификации через platform.cgi | Обновить прошивку до указанных версий (1.09B32, 1.08B44, 1.09B50) |
| D-Link DSR-150/250/1000 | Отсутствие аутентификации ARP (ARP-спуфинг) | Статическая ARP-таблица, arpwatch, VLAN |
| Cisco WLC (2000,2100,2500,4100,4400,5500) | DoS через MLDv2 или специальные фреймы 802.11 | Обновить прошивку (Cisco Advisory март 2014) |
| Cisco IOS | Уязвимости в LPD, NAT, EnergyWise, ALG, SIP, SSH, IKE, OSPF, MSDP, RSVP | Обновить IOS до рекомендованных версий; отключить неиспользуемые сервисы |
| Zyxel ZLD (ZyWALL USG) | ARP-спуфинг, повышение привилегий, XSS, DoS | Обновить прошивку; использовать статические ARP-таблицы |
Рекомендация: Закрыть управление сетевыми устройствами только с доверенных IP-адресов, использовать SSH вместо telnet, регулярно проверять наличие обновлений на сайтах производителей.
7. Операционные системы (Windows, Linux)
| ОС | Уязвимость | Исправление |
|---|---|---|
| Windows (Vista, 7, 8, Server 2008/2012) | Перехват трафика по ARP | Перейти на IPv6 или статические ARP-таблицы |
| Windows | Telnet без шифрования | Использовать SSH, RDP с шифрованием |
| Windows | Уязвимости в iSCSI, TCP, Active Directory, DirectShow | Установить все критические обновления через WSUS |
| Ядро Linux (3.x) | Ошибки в raw_cmd_copyout, cifs_iovec_write, futex_requeue, ping_init_sock и др. | Обновить ядро до версии 3.14.4 или выше (для старых дистрибутивов – бэкпорты) |
| GNU Bash | Shellshock (CVE-2014-6271, CVE-2014-7169) | Обновить bash до версии 4.3(43) или выше |
Рекомендация: Внедрить автоматическое обновление операционных систем с тестированием в пилотной группе. Не отключать обновления «навсегда».
8. Гипервизоры и виртуализация
| Продукт | Уязвимость | Исправление |
|---|---|---|
| VMware ESXi 4.0–5.0 | Переполнение буфера XPDM | Обновить до 4.6.1+ |
| VMware ESXi 5.5 | Повышение привилегий в гостевой Windows 8.1 | Установить KB2065832 |
| VMware Workstation 6.5.x, 7.x | Внедрение библиотеки для vmrun | Обновить до 6.5.1, 7.1.5+ |
| QEMU до 2.0 | Переполнение буфера в virtio_net_handle_mac | Применить патч для 2.0 |
Рекомендация: Держать гипервизоры на последних стабильных версиях, изолировать управляющую сеть от пользовательской.
Как организовать процесс управления уязвимостями в медицинской организации
- Инвентаризация активов – составьте точный перечень всего ПО и оборудования с указанием версий.
- Сканирование уязвимостей – используйте сертифицированные ФСТЭК сканеры (MaxPatrol, xSpider, Positive Technologies) не реже 1 раза в квартал.
- Оценка критичности – по методике ФСТЭК определите, какие уязвимости требуют немедленного закрытия.
- Планирование обновлений – назначьте ответственного за каждую категорию ПО, ведите календарь патчей.
- Тестирование – сначала на тестовом стенде, затем на продуктивных системах.
- Мониторинг – используйте системы обнаружения вторжений (СОВ) для контроля попыток эксплуатации.
- Документирование – фиксируйте все обновления в журнале, храните акты о внедрении патчей.
Важно: Для медицинского оборудования (томографы, анализаторы, системы ИВЛ) нельзя просто взять и обновить ПО – это может нарушить сертификацию или привести к сбоям. Согласовывайте обновления с производителем и проводите в период наименьшей нагрузки.
Частые ошибки и как их избежать
- «У нас нет интернета, поэтому уязвимости нам не страшны» – внутренний нарушитель (сотрудник) или заражённая флешка могут нанести не меньший ущерб.
- «Мы установили антивирус, и этого достаточно» – антивирус не защитит от уязвимостей в сетевом оборудовании, ПЛК или веб-приложениях.
- «Обновления ломают работу, поэтому мы их не ставим» – вводите политику поэтапного обновления с откатом, но не игнорируйте критические патчи.
- «У нас нет бюджета на сканер уязвимостей» – можно использовать бесплатные инструменты (OpenVAS, Wazuh), но для соответствия регуляторным требованиям лучше приобрести сертифицированное решение.
- «Мы все обновили полгода назад» – уязвимости появляются ежедневно, процесс должен быть непрерывным.
Представленный перечень из более чем 200 уязвимостей – лишь малая часть от реально существующих. Но он даёт представление о том, с какими типами угроз сталкиваются медицинские организации. Ваша задача – не запомнить каждую уязвимость, а выстроить системный процесс:
- инвентаризация → сканирование → оценка → планирование → обновление → контроль.
И помните: своевременная установка обновлений (особенно для Java, браузеров, ОС и сетевого оборудования) закрывает более 80% критических уязвимостей. Остальные 20% требуют дополнительных мер – межсетевых экранов, сегментации сети, контроля съёмных носителей и обучения персонала.
Если нужна помощь с составлением плана обновлений для вашего учреждения или с расстановкой приоритетов по уязвимостям – пишите, разберём индивидуально.
Таблица: известные уязвимости и меры по их устранению
| № | Наименование уязвимости | Описание | Название ПО | Версия ПО | Возможные меры по устранению |
|---|---|---|---|---|---|
| 1 | Уязвимость микропрограммного обеспечения звена фотоэлектрической системы Solar-Log, позволяющая злоумышленнику выполнить произвольный код и вызвать отказ в обслуживании | Ошибки в коде веб-сервера, возможность загрузки файлов с произвольным путем без аутентификации (или с фиксированной учетной записью solarlog:solarlog) | Микропрограммное обеспечение звена фотоэлектрической системы Solar-Log | от 3.1.1 до 3.1.66 | Обновление до версии 3.1.1-67 |
| 2 | Уязвимость микропрограммного обеспечения звена фотоэлектрической системы Solar-Log, позволяющая удаленному злоумышленнику получить несанкционированный доступ к конфиденциальной информации | Отсутствие парольной защиты сценариев CGI, используемых для резервного копирования и восстановления данных и конфигурации | Микропрограммное обеспечение звена фотоэлектрической системы Solar-Log | от 3.1.1 до 3.1.66 | Обновление до версии 3.1.1-67 |
| 3 | Уязвимость системы управления веб-проектами 1С-Битрикс: Управление сайтом, позволяющая удаленному злоумышленнику получить код подтверждения на сброс пароля любого пользователя, а также пароль пользователя | Ошибки в коде генератора псевдослучайных чисел mt_rand | 1С-Битрикс: Управление сайтом | до 11.5.6 | Обновление до версии 11.5.7 или выше |
| 4 | Уязвимость системы управления веб-проектами 1С-Битрикс: Управление сайтом, позволяющая злоумышленнику выполнить обход ограничений доступа | Ошибки в механизме контроля целостности скрипта контроля | 1С-Битрикс: Управление сайтом | до 12.5.7 | Обновление до версии 12.5.8 или выше |
| 5 | Уязвимость автоматизированной системы управления технологическими процессами SIMATIC WinCC, позволяющая удаленному злоумышленнику получить несанкционированный доступ к конфиденциальной информации | Ошибка при обработке специально сформированного HTTP-пакета (порты 80/tcp, 443/tcp) | SIMATIC WinCC | от 5.0 до 7.2 | Обновление до версии 7.3 или выше |
| 6 | Уязвимость SIMATIC WinCC, позволяющая авторизованным пользователям, действующим удаленно, повысить уровень своих привилегий | Ошибки в коде сервера WinCC WebNavigator | SIMATIC WinCC | от 5.0 до 7.2 | Обновление до версии 7.3 или выше |
| 7 | Уязвимость SIMATIC WinCC, позволяющая злоумышленнику повысить уровень своих привилегий | Права доступа к системным объектам позволяют локальному пользователю получить ограниченные повышенные привилегии ОС | SIMATIC WinCC | от 5.0 до 7.2 | Обновление до версии 7.3 или выше |
| 8 | Уязвимость файлового сервера Serv-U File Server, позволяющая удаленному злоумышленнику изменить конфигурацию системы | Ошибки в коде форм веб-интерфейса | Serv-U File Server | до 15.1.0.480 | Обновление до версии 15.1.0.481 или выше |
| 9 | Уязвимость Serv-U File Server, позволяющая удаленному злоумышленнику узнать информацию о конфигурации системы и аутентификационные данные пользователей | Ошибки при обработке значений переменных приложения | Serv-U File Server | до 15.0.0.0 | Обновление до версии 15.0.0.1 или выше |
| 10 | Уязвимость Serv-U File Server, позволяющая удаленному злоумышленнику выполнить произвольный JavaScript-код в браузере пользователя (XSS) | Недостаточная проверка параметров, переданных клиентом и используемых в HTM-сценариях | Serv-U File Server | до 15.0.1.20 | Обновление до версии 15.0.1.21 или выше |
| 11 | Уязвимость файлового сервера SAP NetWeaver, позволяющая удаленному злоумышленнику получить несанкционированный доступ к дочерней системе модели SUP CUA | Ошибка позволяет удаленно читать любые таблицы из центральной системы SAP CUA | SAP NetWeaver | до 7.20 | Установить SAP Security Note 1997455 |
| 12 | Уязвимость средства разработки приложений Java Development Kit (подкомпонент Deployment) | Уязвимость в подкомпоненте Deployment | Java Development Kit | 1.6.0 update 65, 1.7.0 update 45 | Установить последнюю версию Java (LTS) |
| 13 | Уязвимость программной платформы Java Runtime Environment (подкомпонент AWT) | Уязвимость в подкомпоненте AWT | Java Runtime Environment | 1.5.0 u61, 1.6.0 u71, 1.7.0 u51, 1.8.0 | Установить последнюю версию JRE |
| 14 | Уязвимость Java Runtime Environment (подкомпонент JAX-WS) | Уязвимость в подкомпоненте JAX-WS | Java Runtime Environment | 1.6.0 u71, 1.7.0 u51, 1.8.0 | Обновить Java |
| 15 | Уязвимость Java Development Kit (подкомпонент Scripting) | Уязвимость в подкомпоненте Scripting | Java Development Kit | 1.8.0 | Обновить JDK |
| 16 | Уязвимость программной платформы JRockit (подкомпонент Security) | Уязвимость в подкомпоненте Security | Jrockit | r27.8.1, r28.3.1 | Обновить JRockit |
| 17 | Уязвимость Java Runtime Environment (подкомпонент 2D) | Уязвимость в подкомпоненте 2D | Java Runtime Environment | 1.7.0 u51, 1.8.0 | Обновить JRE |
| 18 | Уязвимость Java Development Kit (подкомпонент JSSE) | Уязвимость в подкомпоненте JSSE | Java Development Kit | 1.6.0 u65, 1.7.0 u45, 1.5.0 u55 | Обновить JDK |
| 19 | Уязвимость Java Development Kit (небезопасное создание временных файлов unpack200) | Ошибка в unpack200 позволяет локальному пользователю заменить произвольные файлы через /tmp/unpack.log | Java Development Kit | 1.8.0, 1.6.0, 1.7.0 | Обновить JDK, использовать безопасные методы создания временных файлов |
| 20 | Уязвимость Java Runtime Environment (подкомпонент CORBA) | Уязвимость в подкомпоненте CORBA | Java Runtime Environment | 1.6.0 u65, 1.7.0 u45, 1.5.0 u55 | Обновить JRE |
| 21 | Уязвимость СУБД PostgreSQL, позволяющая удаленным пользователям повысить уровень своих привилегий | Ошибки в функциях валидатора процедурных языков | PostgreSQL | 8.4.2–8.4.19, 9.0–9.15, 9.1–9.1.11, 9.2–9.2.6 | Обновить до 8.4.20, 9.1.12, 9.2.7, 9.16 или выше |
| 22 | Уязвимость системы планирования ресурсов Microsoft Dynamics AX, позволяющая удаленному злоумышленнику вызвать отказ в обслуживании | Неправильная обработка специально сформированных сообщений AOS | Microsoft Dynamics AX | 4.0 SP2, 2009 SP1, 2012, 2012 R2 | Установить обновление согласно MS14-004 |
| 23 | Уязвимость мультимедийного пакета Apple QuickTime, позволяющая удаленному злоумышленнику выполнить произвольный код или вызвать отказ в обслуживании | Отсутствие инициализации указателей при обработке списка дорожек в видеофайле | QuickTime | до 7.7.5 | Обновить до версии 7.5.5 или выше |
| 24 | Уязвимость СУБД Oracle Database Server (ядро) | Уязвимость в компоненте ядра позволяет нарушить конфиденциальность и целостность | Oracle Database | 11.1.0.7, 11.2.0.3, 11.2.0.4, 12.1.0.1 | Установить патч из бюллетеня 1618213.1 |
| 25 | Уязвимость почтового сервера Dovecot, позволяющая удаленному злоумышленнику вызвать отказ в обслуживании | Незакрытие установленных сессий в процессе SSL/TLS-handshake | Dovecot | от 1.1 до 2.2.13 | Обновить до версии 2.2.13 или выше |
| 26 | Уязвимость эмулятора QEMU (переполнение буфера в virtio_net_handle_mac) | Переполнение буфера при обновлении таблицы MAC-адресов гостевой ОС | QEMU | до 2.0 | Применить патч «PATCH for-2.0 virtio-net» |
| 27 | Уязвимость браузера Firefox (nsGenericHTMLElement::GetWidthHeightForImage) | Use-after-free при изменении размера изображения | Firefox | до 28 | Обновить до версии 29.0 или выше |
| 28 | Уязвимость браузера Firefox ESR (nsXBLProtoImpl::InstallImplementation) | Use-after-free при обработке не XBL объектов через JavaScript | Firefox ESR | 24.0 – 24.4 | Обновить до версии 24.5 или выше |
| 29 | Уязвимость браузера Firefox (WebGLContext::ValidateTextImageSize) | Манипулирование входными данными WebGL приводит к выполнению кода | Firefox | до 28 | Обновить до версии 29.0 |
| 30 | Уязвимость почтового клиента Thunderbird (qcms_profile_from_memory) | Создание специального ICC-профиля приводит к выполнению кода | Thunderbird | до 24.4 | Обновить до версии 24.5 |
| 31 | Уязвимость системы мгновенного обмена сообщениями Pidgin (подкомпонент Mxit) | Специально сформированное сообщение приводит к выполнению кода | Pidgin | до 2.10.7 | Обновить до версии 2.10.8 |
| 32 | Уязвимость сервера приложений IBM WebSphere Application Server | Получение доступа к конфиденциальной информации через специальные запросы | WebSphere Application Server | 8.0–8.0.0.8, 8.5.0.0–8.5.5.1 | Обновить до 8.0.0.9, 8.5.5.2 или выше |
| 33 | Уязвимость интерпретатора PHP (cdf_unpack_summary_info) | Бесконечный цикл при обработке CDF-файла, DoS | PHP | до 5.4.28, 5.5.0–5.5.12 | Обновить до 5.4.29, 5.5.13 |
| 34 | Уязвимость PHP (права доступа 0666 для UNIX-сокета FPM) | Повышение привилегий через FastCGI клиент | PHP | 5.5.0–5.5.11 | Обновить до 5.4.29, 5.5.12 |
| 35 | Уязвимость микропрограммного обеспечения маршрутизатора D–Link DSR–150 (обход аутентификации) | Скрипт platform.cgi не фильтрует поле Password | DSR-150 | 1.05b29, 1.05b35, 1.05b46, 1.05b48, 1.05b50, 1.08b29 | Обновить до версии 1.09B32 или выше |
| 36 | Уязвимость маршрутизаторов D–Link DSR–150/250/1000 (ARP-спуфинг) | Отсутствие аутентификации ARP-пакетов | DSR-150, DSR-250, DSR-1000 | до 1.09 / до 1.08 / до 1.09 | Использовать статическую ARP-таблицу, arpwatch, VLAN |
| 37 | Уязвимость браузера Google Chrome (обход ограничений доступа через i18n) | Смешение типов в i18n.js и runtime.cc | Google Chrome | 34.0.1847.1 – 34.0.1847.131 | Обновить до версии 34.0.1847.132 или выше |
| 38 | Уязвимость Google Chrome (обход песочницы через Seccomp-BPF) | Некорректное объединение блоков в PointerCompare | Google Chrome | 34.0.1847.1 – 34.0.1847.131 | Обновить до версии 34.0.1847.132 |
| 39 | Уязвимость Google Chrome (use-after-free в speech_recognition_bubble_views.cc) | Элемент INPUT вызывает ошибку в окне распознавания речи | Google Chrome | 34.0.1847.1 – 34.0.1847.131 | Обновить до версии 34.0.1847.132 |
| 40 | Уязвимость Cisco Wireless LAN Controller 2500 (отказ в обслуживании через MLDv2) | Некорректно сформированные пакеты IPv6 MLDv2 вызывают перезагрузку | Wireless LAN Controller 2500 | 7.2 – 7.4.121.0, 7.5 – 7.6.100.0 | Установить обновление Cisco (advisory март 2014) |
| 41 | Уязвимость Cisco Wireless LAN Controller 2000 (DoS через специальные фреймы 802.11) | Специально сформированные фреймы Ethernet 802.11 вызывают перезагрузку | Wireless LAN Controller 2000 | 7.2 – 7.4.110.0 | Обновить прошивку (Cisco advisory) |
| 42 | Уязвимость интерпретатора командной строки GNU Bash (Shellshock, CVE-2014-6271) | Ошибка обработки переменных окружения, удалённое выполнение кода | GNU Bash | до 4.3 | Обновить bash до версии 4.3(43) или выше |
| 43 | Уязвимость OpenSSL (внедрение CCS, CVE-2014-0224) | Некорректное ограничение обработки ChangeCipherSpec, перехват TLS-сессии | OpenSSL | до 1.0.1g | Обновить OpenSSL; для оборудования Cisco – установить обновления |
| 44 | Уязвимость VMware ESXi 4.0–5.0 (переполнение буфера в драйвере XPDM) | Повышение привилегий или DoS | VMware ESXi | 4.0, 4.1, 5.0 | Обновить до версии 4.6.1 или выше |
| 45 | Уязвимость Cisco IOS (LPD-служба) | Длинное имя узла вызывает DoS или выполнение кода | Cisco IOS | 10.3 – 12.4 | Обновить до 12.2(18)SXF11, 12.4(16a) или 12.4(2)T6 X |
| 46 | Уязвимость Cisco IOS (NAT и SIP ALG) | Специальные SIP-пакеты вызывают DoS | Cisco IOS | 12.4, 15.0, 15.1, 12.2, 15.2 | Обновить ПО, отключить NAT SIP ALG для UDP |
| 47 | Уязвимость Windows (отсутствие аутентификации ARP) | Подмена записей ARP-таблицы, перенаправление трафика | Windows XP, Vista, 7, 8, Server 2003–2012 | множество | Перейти на IPv6 или использовать статическую ARP-таблицу |
| 48 | Уязвимость Windows (telnet без шифрования) | Перехват паролей при анализе трафика | Windows XP, Server 2003, Vista, 7, 8, Server 2008–2012 | множество | Использовать SSH, RDP с шифрованием |
| 49 | Уязвимость ядра Linux (raw_cmd_copyout) | Доступ к защищаемой информации из памяти ядра | Linux kernel | 3.0 – 3.14.3 | Обновить ядро до версии 3.14.4 |
| 50 | Уязвимость ядра Linux (futex_requeue) | Повышение привилегий или DoS | Linux kernel | до 3.4.15 | Применить патчи (commit e9c243a5a6de0be8) |
| 51 | Уязвимость гипервизора VMware Workstation (внедрение библиотеки для vmrun) | Получение контроля над утилитой vmrun | VMware Workstation | 6.5.x, 7.x до 7.1.4 | Обновить до 6.5.1, 7.1.5 или выше |
| 52 | Уязвимость СУБД MySQL (Information Schema) | Отказ в обслуживании | MySQL | 5.1.51–5.1.68, 5.5.10–5.5.30, 5.6.0–5.6.10 | Обновить до 5.1.69, 5.5.31, 5.6.11 |
| 53 | Уязвимость Microsoft Office (DLL-hijacking) | Выполнение кода через загрузку DLL из папки документа | Microsoft Office 2007,2010,2013 | — | Установить обновление согласно MS14-023 |
| 54 | Уязвимость Microsoft .NET Framework (ASLR bypass) | Обход рандомизации адресного пространства | .NET Framework 3.5.1, 2.0 SP2 | — | Установить обновление согласно MS14-009 |