КиберосноваSGRC
BDU:2019-02664
Низкий

BDU:2019-02664: Уязвимость почтового сервера Microsoft Exchange Server, программ мгновенного обмена сообщениями Microsoft Lync и Skype for Business, почтового клиента Microsoft Outlook и Outlook for iOS, пакетов программ Microsoft Office и Office 365, связанная с отсутствием защиты служебных данных, позволяющая нарушителю раскрыть защищаемую информацию

CVSS v33.5
CVSS v22.7
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2019-02664

Описание

Уязвимость почтового сервера Microsoft Exchange Server, программ мгновенного обмена сообщениями Microsoft Lync и Skype for Business, почтового клиента Microsoft Outlook и Outlook for iOS, пакетов программ Microsoft Office и Office 365 связана с отсутствием защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, раскрыть защищаемую информацию в результате создания объектов с недопустимыми именами

Что делать с BDU:2019-02664

Низкая уязвимость (CVSS 3.5) — устраните при плановом обновлении. Если уязвимый компонент не используется в критичных системах, риск минимален.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
3.5Низкий
Пересчитать →
v2
2.7
Только просмотр
AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:NAV:A/AC:L/Au:S/C:P/I:N/A:N

CWE — тип уязвимости

CWE-200

CVE — международный идентификатор

CVE-2019-1084
CWE-200
Раскрытие информации

Программа непреднамеренно раскрывает конфиденциальные данные: стек вызовов, пути, credentials.

Как атакуют и что делать ▾

Сценарий атаки

Сервер возвращает стек вызовов, пути к файлам, версии ПО, SQL-запросы в сообщениях об ошибках.

Последствия

Утечка внутренней архитектуры, помогает атакующему планировать дальнейшие шаги.

Рекомендации

Отключите подробные ошибки в production, используйте generic error pages, логируйте на сервере.

Тактики и техники

Несанкционированный сбор информации

Уязвимое ПО (33)

ВендорНазваниеВерсияПлатформа
Microsoft CorpMicrosoft Office 2013 RT Service Pack 1-Не указана
Microsoft CorpMicrosoft Exchange Server2010 sp3Не указана
Microsoft CorpMicrosoft Office 2016-64-bit
Microsoft CorpMicrosoft Office 2016-32-bit
Microsoft CorpMicrosoft Outlook 2016-64-bit
Microsoft CorpMicrosoft Outlook 2016-32-bit
Microsoft CorpMicrosoft Outlook 2010 Service Pack 2-64-bit
Microsoft CorpMicrosoft Outlook 2010 Service Pack 2-32-bit
Microsoft CorpMicrosoft Outlook 2013 Service Pack 1-64-bit
Microsoft CorpMicrosoft Outlook 2013 Service Pack 1-32-bit
Microsoft CorpMicrosoft Office 2016-MacOS
Microsoft CorpMicrosoft Office 2013 Service Pack 1-64-bit
Microsoft CorpMicrosoft Office 2013 Service Pack 1-32-bit
Microsoft CorpMicrosoft Office 2019-32-bit
Microsoft CorpMicrosoft Office 2019-64-bit
Microsoft CorpMicrosoft Office 2019-MacOS
Microsoft CorpOffice 365 ProPlus-64-bit
Microsoft CorpOffice 365 ProPlus-32-bit
Microsoft CorpMicrosoft Exchange Server2016 Cumulative Update 12Не указана
Microsoft CorpMicrosoft Exchange Server2019 Cumulative Update 1Не указана
Microsoft CorpMicrosoft Exchange Server2013 Cumulative Update 23Не указана
Microsoft CorpMicrosoft Exchange Server2016 Cumulative Update 13Не указана
Microsoft CorpMicrosoft Exchange Server2019 Cumulative Update 2Не указана
Microsoft CorpMicrosoft Lync2013 SP132-bit
Microsoft CorpMicrosoft Lync2013 SP164-bit
Microsoft CorpMicrosoft LyncBasic 2013 SP132-bit
Microsoft CorpMicrosoft LyncBasic 2013 SP164-bit
Microsoft CorpMicrosoft Outlook-Android
Microsoft CorpSkype for Business201632-bit
Microsoft CorpSkype for Business201664-bit
Microsoft CorpSkype for Business2016 Basic32-bit
Microsoft CorpSkype for Business2016 Basic64-bit
Microsoft CorpMicrosoft Outlook-iOS

Рекомендации по устранению

Использование рекомендаций: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1084

Источники (1)

SLA ФСТЭК №117

90 дней

по базовой оценке CVSS 3.5

Уточните SLA под вашу среду

Базовый балл 3.5 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации5.3%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2019-07-09

Опубликована

2019-07-23

Обновлена

2021-03-23

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2019-1084 MITRE: CWE-200 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

BDU:2025-10169
Высокий
7.5

Уязвимость почтового сервера Microsoft Exchange Server, связанная с недостаточной проверкой входных данных, позволяющая

BDU:2025-10166
Средний
6.5

Уязвимость почтового сервера Microsoft Exchange Server, связанная с недостаточной проверкой входных данных, позволяющая

BDU:2025-10167
Средний
5.3

Уязвимость почтового сервера Microsoft Exchange Server, связанная с неправильной проверкой синтаксической корректности в

BDU:2025-10168
Средний
5.3

Уязвимость почтового сервера Microsoft Exchange Server, связанная с неправильной обработкой дополнительного специального

BDU:2025-09477
Высокий
8.0

Уязвимость почтового сервера Microsoft Exchange Server, связанная с недостатками процедуры аутентификации, позволяющая н

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0