BDU:2015-00244

Критический

BDU:2015-00244: Уязвимость программного обеспечения Adobe Pepper Flash для Google Chrome, позволяющая удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации

CVSS v210.0

Описание

Целочисленное переполнение в Adobe Flash Player, Adobe AIR, Adobe AIR SDK и Adobe AIR SDK & Compiler позволяет злоумышленнику выполнить произвольный код.

Что делать с BDU:2015-00244

Критическая уязвимость (CVSS 10.0) требует немедленного реагирования. По приказу ФСТЭК №117 срок устранения — 24 часа. Проверьте наличие патча у вендора и установите его на все затронутые системы. При невозможности патча — изолируйте уязвимый компонент и примените компенсирующие меры.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

10.0

Только просмотр

AV:N/AC:L/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CWE-190

CVE — международный идентификатор

CVE-2014-0569

ID:183805

CWE-190

Целочисленное переполнение

Арифметическая операция приводит к значению за пределами типа. Может вызвать переполнение буфера или логические ошибки.

Как атакуют и что делать ▾

Сценарий атаки

Результат арифметической операции превышает максимум типа. INT_MAX + 1 = отрицательное число → неверный размер буфера → переполнение.

Последствия

Переполнение буфера, обход проверок, выделение неверного объёма памяти.

Рекомендации

Проверяйте результат перед операцией, используйте safe_math функции, компилируйте с -ftrapv.

Тактики и техники

Манипулирование структурами данных

Уязвимое ПО (1)

Вендор	Название	Версия	Платформа
Adobe Systems Inc.	Adobe Pepper Flash для Google Chrome	от 11.8.800.97 до 15.0.0.189	Не указана

Источники (1)

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0569 http://helpx.adobe.…

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 10.0

Threat Intelligence

SSVC: Немедленно устранить

Эксплуатируется или вероятность крайне высока. Приоритет №1 — устраните в первую очередь.

EPSS — вероятность эксплуатации90.2%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2014-10-14

Опубликована

2016-07-06

Обновлена

2017-10-06

Эксплойт

Данные уточняются

Исправление

Информация об устранении отсутствует

Статус

Потенциальная уязвимость

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

Уязвимости → активы → ответственные — цепочка за минуту
SLA-таймеры и эскалация — дедлайны не горят
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2014-0569 MITRE: CWE-190 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК