КиберосноваSGRC
BDU:2014-00158
Критический

BDU:2014-00158: Уязвимость браузера Internet Explorer, позволяющая злоумышленнику выполнить произвольный код или вызвать отказ в обслуживании

CVSS v210.0
Открыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2014-00158

Описание

Браузер Internet Explorer содержит уязвимость, связанную с использованием памяти после её освобождения (use-after-free error) в функции CMarkup::IsConnectedToPrimaryMarkup. Эксплуатация данной уязвимости позволяет злоумышленникам, действующим удаленно, с помощью специально созданного сайта выполнить произвольный код или вызвать отказ в обслуживании

Что делать с BDU:2014-00158

Критическая уязвимость (CVSS 10.0) требует немедленного реагирования. По приказу ФСТЭК №117 срок устранения — 24 часа. Проверьте наличие патча у вендора и установите его на все затронутые системы. При невозможности патча — изолируйте уязвимый компонент и примените компенсирующие меры.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v2
10.0
Только просмотр
AV:N/AC:L/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CWE-94

CVE — международный идентификатор

CVE-2014-1776
CWE-94
Внедрение кода

Позволяет внедрить и выполнить произвольный код на стороне сервера.

Как атакуют и что делать ▾

Сценарий атаки

Пользовательский ввод передаётся в eval(), exec() или шаблонизатор. Атакующий внедряет произвольный код.

Последствия

Выполнение произвольного кода на сервере, полный контроль.

Рекомендации

Никогда не используйте eval() с пользовательским вводом. Используйте песочницы и white-list.

Уязвимое ПО (6)

ВендорНазваниеВерсияПлатформа
Microsoft CorpInternet Explorer10Не указана
Microsoft CorpInternet Explorer11Не указана
Microsoft CorpInternet Explorer9Не указана
Microsoft CorpInternet Explorer8Не указана
Microsoft CorpInternet Explorer7Не указана
Microsoft CorpInternet Explorer6Не указана

Среды функционирования (2)

ВендорНазваниеВерсияПлатформа
Microsoft CorpWindows-64-bit
Microsoft CorpWindows-32-bit

Рекомендации по устранению

Установка обновления в соответствии с информацией, содержащейся в бюллетене ms14-021

Источники (1)

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 10.0

Threat Intelligence

SSVC: Немедленно устранить

Эксплуатируется или вероятность крайне высока. Приоритет №1 — устраните в первую очередь.

EPSS — вероятность эксплуатации88.0%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

CISA KEV — активно эксплуатируется

Включена в каталог Known Exploited Vulnerabilities. Устранение — приоритет.

Информация

Обнаружена

2014-04-27

Опубликована

2016-07-05

Обновлена

2024-12-27

Эксплойт

Существует в открытом доступе

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2014-1776 MITRE: CWE-94 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

BDU:2025-16421
Высокий
7.3

Уязвимость браузера Internet Explorer, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом,

BDU:2025-05436
Высокий
7.5

Уязвимость компонента обработки сценариев Scripting Engine браузера Edge и Internet Explorer операционных систем Windows

BDU:2021-06311
Средний
6.3

Уязвимость элемента управления ActiveX браузера Internet Explorer, позволяющая нарушителю выполнить произвольный код

BDU:2021-04442
Высокий
8.8

Уязвимость механизма MSHTML браузера Internet Explorer, связанная с неверным управлением генерацией кода, позволяющая на

BDU:2021-02648
Высокий
7.5

Уязвимость компонента Scripting Engine браузера Internet Explorer, вызвана выходом операции за границы буфера в памяти,

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0