КиберосноваSGRC
BDU:2026-03128
Средний
Эксплойт

BDU:2026-03128: Уязвимость метода программного обеспечения TrueConf Server, позволяющая нарушителю инициировать запрос от имени сервера

CVSS v34.3
CVSS v24.0
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2026-03128

Описание

Уязвимость метода программного обеспечения TrueConf Server связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, инициировать запрос от имени сервера

Что делать с BDU:2026-03128

Уязвимость среднего уровня (CVSS 4.3) — устраните в рамках планового цикла обновлений. Рекомендуемый срок — 30 дней. Оцените применимость к вашей инфраструктуре через список затронутого ПО.

⚠ Для этой уязвимости существует публичный эксплойт — риск активной эксплуатации повышен. Устраните в первую очередь.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
4.3Средний
Пересчитать →
v2
4.0
Только просмотр
AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:NAV:N/AC:L/Au:S/C:P/I:N/A:N

CWE — тип уязвимости

CWE-200
CWE-200
Раскрытие информации

Программа непреднамеренно раскрывает конфиденциальные данные: стек вызовов, пути, credentials.

Как атакуют и что делать ▾

Сценарий атаки

Сервер возвращает стек вызовов, пути к файлам, версии ПО, SQL-запросы в сообщениях об ошибках.

Последствия

Утечка внутренней архитектуры, помогает атакующему планировать дальнейшие шаги.

Рекомендации

Отключите подробные ошибки в production, используйте generic error pages, логируйте на сервере.

Тактики и техники

Несанкционированный сбор информации

Уязвимое ПО (4)

ВендорНазваниеВерсияПлатформа
ООО «Труконф»TrueConf Serverдо 5.5.2.11029Windows
ООО «Труконф»TrueConf Serverдо 5.5.2.11041Linux
ООО «Труконф»TrueConf Serverдо 5.4.8.10015Windows
ООО «Труконф»TrueConf Serverдо 5.4.8.10016Linux

Рекомендации по устранению

Обновление программного обеспечения до версии 5.5.2.11029 для ОС Windows Обновление программного обеспечения до версии 5.5.2.11041 для ОС Linux Обновление программного обеспечения до версии 5.4.8.10015 для ОС Windows Обновление программного обеспечения до версии 5.4.8.10016 для ОС Linux

Источники (1)

SLA ФСТЭК №117

30 дней

по базовой оценке CVSS 4.3

Уточните SLA под вашу среду

Базовый балл 4.3 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать

Низкий текущий риск. Устраните при плановом обновлении.

Информация

Обнаружена

2026-03-16

Опубликована

2026-03-16

Обновлена

2026-04-28

Эксплойт

Существует

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК MITRE: CWE-200 Каталог CPE (ФСТЭК)

Связанные уязвимости

BDU:2026-03092
Высокий
8.5

Уязвимость метода программного обеспечения TrueConf Server, позволяющая удаленно выполнить произвольный код

BDU:2026-03093
Средний
7.7

Уязвимость метода программного обеспечения TrueConf Server, позволяющая удаленно вызвать отказ в обслуживании путем удал

BDU:2026-04921
Средний
3.5

Уязвимость функции Create/Edit Conference программного обеспечения TrueConf Server, позволяющая нарушителю выполнить про

BDU:2026-04922
Средний
5.7

Уязвимость функции Create/Edit Conference программного обеспечения TrueConf Server, позволяющая нарушителю получить дост

BDU:2026-04923
Средний
3.5

Уязвимость программного обеспечения TrueConf Server, связанная с отсутствием нейтрализации элементов для файлов CSV, поз

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0