BDU:2015-00234

Средний

BDU:2015-00234: Уязвимость программного обеспечения Adobe Pepper Flash для Google Chrome, позволяющая удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации

CVSS v26.8

Описание

Уязвимость существует в Adobe Pepper Flash для Google Chrome из-за некорректного ограничения файлового формата SWF. Эксплуатация данной уязвимости позволяет злоумышленникам, действующим удаленно, провести атаку на конечные точки JSONP при помощи межсайтовой подмены запросов (CSRF) и получить доступ к конфиденциальной информации, используя специально сформированные элементы OBJECT с SWF-содержимым, соответствующим требованиям кодировки символов API обратного вызова

Что делать с BDU:2015-00234

Уязвимость среднего уровня (CVSS 6.8) — устраните в рамках планового цикла обновлений. Рекомендуемый срок — 30 дней. Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

6.8

Только просмотр

AV:N/AC:M/Au:N/C:P/I:P/A:P

CWE — тип уязвимости

CWE-352

CVE — международный идентификатор

CVE-2014-4671

ID:183465

CWE-352

Подделка межсайтовых запросов

Заставляет браузер жертвы отправить запрос от её имени без ведома. Приводит к несанкционированным действиям.

Как атакуют и что делать ▾

Сценарий атаки

Жертва авторизована на сайте. Атакующий подсовывает страницу с автоматической отправкой формы — браузер отправляет запрос с cookies жертвы.

Последствия

Несанкционированные действия от имени жертвы: перевод денег, смена пароля, удаление данных.

Рекомендации

Используйте CSRF-токены, проверяйте заголовок Origin/Referer, SameSite cookies.

Уязвимое ПО (1)

Вендор	Название	Версия	Платформа
Adobe Systems Inc.	Adobe Pepper Flash для Google Chrome	от 11.8.800.97 до 14.0.0.145	Не указана

Источники (1)

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-4671 APSB14-17: http://he…

SLA ФСТЭК №117

30 дней

по базовой оценке CVSS 6.8

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации23.0%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2014-07-09

Опубликована

2016-07-06

Обновлена

2017-10-06

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

Уязвимости → активы → ответственные — цепочка за минуту
SLA-таймеры и эскалация — дедлайны не горят
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2014-4671 MITRE: CWE-352 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК