КиберосноваSGRC
BDU:2014-00385
Высокий

BDU:2014-00385: Уязвимость пакета программ Microsoft SharePoint, позволяющая удаленному нарушителю выполнить произвольный код и получить контроль над системой

CVSS v29.0
Открыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2014-00385

Описание

Уязвимость программного обеспечения Microsoft SharePoint, связанная с ошибками, возникающими в результате обработки специально сформированных файлов. Эксплуатация данной уязвимости позволяет удаленному нарушителю выполнить произвольный код и получить полный контроль над системой

Что делать с BDU:2014-00385

Высокая уязвимость (CVSS 9.0) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v2
9.0
Только просмотр
AV:N/AC:L/Au:S/C:C/I:C/A:C

CWE — тип уязвимости

CWE-94

CVE — международный идентификатор

CVE-2014-0251
OSVDB ID:106893
CWE-94
Внедрение кода

Позволяет внедрить и выполнить произвольный код на стороне сервера.

Как атакуют и что делать ▾

Сценарий атаки

Пользовательский ввод передаётся в eval(), exec() или шаблонизатор. Атакующий внедряет произвольный код.

Последствия

Выполнение произвольного кода на сервере, полный контроль.

Рекомендации

Никогда не используйте eval() с пользовательским вводом. Используйте песочницы и white-list.

Уязвимое ПО (14)

ВендорНазваниеВерсияПлатформа
Microsoft CorpMicrosoft SharePoint Server2010 SP2Не указана
Microsoft CorpMicrosoft SharePoint Server2013Не указана
Microsoft CorpMicrosoft SharePoint Server2013 SP1Не указана
Microsoft CorpMicrosoft SharePoint Foundation2013 SP1Не указана
Microsoft CorpMicrosoft SharePoint Server2010 SP1Не указана
Microsoft CorpMicrosoft SharePoint Server2007 SP3Не указана
Microsoft CorpMicrosoft SharePoint Designer2007 SP3Не указана
Microsoft CorpMicrosoft SharePoint Designer2010 SP1Не указана
Microsoft CorpMicrosoft SharePoint Designer2010 SP2Не указана
Microsoft CorpMicrosoft SharePoint Designer2013Не указана
Microsoft CorpMicrosoft SharePoint Designer2013 SP1Не указана
Microsoft CorpMicrosoft SharePoint Foundation2010 SP1Не указана
Microsoft CorpMicrosoft SharePoint Foundation2010 SP2Не указана
Microsoft CorpMicrosoft SharePoint Foundation2013Не указана

Среды функционирования (2)

ВендорНазваниеВерсияПлатформа
Microsoft CorpWindows-64-bit
Microsoft CorpWindows-32-bit

Рекомендации по устранению

Информация об устранении уязвимости содержится в бюллетене MS14-022, предоставленном разработчиком

Источники (1)

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.0

Threat Intelligence

SSVC: Приоритетное устранение

Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.

EPSS — вероятность эксплуатации14.2%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2014-05-14

Опубликована

2016-07-05

Обновлена

2016-11-28

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2014-0251 MITRE: CWE-94 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

BDU:2026-07705
Высокий
8.8

Уязвимость пакетов программ Microsoft SharePoint Server, Microsoft SharePoint Server Subscription Edition и Microsoft Sh

BDU:2023-02075
Средний
6.5

Уязвимость пакетов программ Microsoft SharePoint Server, позволяющая нарушителю оказать воздействие на целостность защи

BDU:2023-01362
Низкий
3.1

Уязвимость пакетов программ Microsoft SharePoint Server, связанная с ошибками представления информации пользовательским

BDU:2023-01100
Высокий
8.8

Уязвимость пакетов программ Microsoft SharePoint Server, SharePoint Foundation и SharePoint Enterprise Server, связанная

BDU:2023-01104
Критический
9.8

Уязвимость текстового редактора Microsoft Word, связанная с выходом операции за границы буфера в памяти, позволяющая нар

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0