BDU:2026-03513

Высокий

BDU:2026-03513: Уязвимость программного средства автоматизации бизнес-процессов IBM Sterling B2B Integrator и файлового шлюза IBM Sterling File Gateway, связанная с непринятием мер по очистке данных на управляющем уровне, позволяющая нарушителю вызвать отказ в обслуживании

CVSS v37.5

CVSS v27.8

Пересчитать в калькуляторе Открыть на bdu.fstec.ru К реестру

Описание

Уязвимость программного средства автоматизации бизнес-процессов IBM Sterling B2B Integrator и файлового шлюза IBM Sterling File Gateway связана с непринятием мер по очистке данных на управляющем уровне. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Что делать с BDU:2026-03513

Высокая уязвимость (CVSS 7.5) должна быть устранена в приоритетном порядке. Срок по п. 38 приказа ФСТЭК № 117 — не более 7 календарных дней. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1

7.5Высокий

Пересчитать →

7.8

Только просмотр

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HAV:N/AC:L/Au:N/C:N/I:N/A:C

CWE — тип уязвимости

CWE-77

CVE — международный идентификатор

CVE-2025-14031

CWE-77

Внедрение команд

CWE-77 — внедрение команд: данные извне не обезвреживаются перед подстановкой в чужую команду. Ошибка возникает, когда строка из аргументов, формы или переменной окружения дописывается к вызову служебной команды: команд ОС или языка команд приложения. Злоумышленник подменяет команду и получает выполнение произвольных операций: чтение файлов, запуск программ, изменение данных.

Как атакуют и что делать ▾

Сценарий атаки

Пользовательский ввод подставляется в команду без экранирования. Метасимволы (;, |, &&) позволяют выполнить вторую команду.

Последствия

Выполнение произвольных команд ОС на сервере.

Рекомендации

Используйте API вместо shell, экранируйте аргументы, применяйте white-list символов.

Тактики и техники

Инъекция

Уязвимое ПО (8)

Вендор	Название	Версия	Платформа
IBM Corp.	IBM Sterling B2B Integrator	от 6.1.0.0 до 6.1.2.7_2 включительно	Не указана
IBM Corp.	IBM Sterling B2B Integrator	от 6.2.0.0 до 6.2.0.5_1 включительно	Не указана
IBM Corp.	IBM Sterling B2B Integrator	от 6.2.1.0 до 6.2.1.1_1 включительно	Не указана
IBM Corp.	IBM Sterling File Gateway	от 6.2.1.0 до 6.2.1.1_1 включительно	Не указана
IBM Corp.	IBM Sterling File Gateway	от 6.2.0.0 до 6.2.0.5_1 включительно	Не указана
IBM Corp.	IBM Sterling File Gateway	от 6.1.0.0 до 6.1.2.7_2 включительно	Не указана
IBM Corp.	IBM Sterling B2B Integrator	6.2.2.0	Не указана
IBM Corp.	IBM Sterling File Gateway	6.2.2.0	Не указана

Источники (1)

https://www.ibm.com/support/pages/node/7266520

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 7.5

Уточните SLA под вашу среду

Базовый балл 7.5 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации0.4%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2026-03-17

Опубликована

2026-03-24

Обновлена

2026-03-24

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

Уязвимости → активы → ответственные — цепочка за минуту
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2025-14031 MITRE: CWE-77 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК