CWE-254
MITRE Ошибки функций безопасности
7PK - Security Features
CWE-254 — ошибки функций безопасности: категория MITRE о дефектах механизмов аутентификации, доступа и криптографии. Она объединяет неверный контроль доступа (CWE-284), некорректную авторизацию (CWE-285) и использование жёстко заданных учётных данных (CWE-798). Такая ошибка обходит аутентификацию, даёт лишние права или ослабляет криптографию; MITRE рекомендует указывать конкретный тип, а не категорию.
Как защититься от CWE-254
Чтобы защититься от CWE-254, проверяйте права доступа на сервере при каждом запросе, назначайте учётным записям минимальные необходимые привилегии и фиксируйте изменения ролей. Храните пароли и ключи в защищённом хранилище, а не в исходном коде, и генерируйте их криптографически стойким генератором случайных чисел.
Уязвимости с типом CWE-254 (50)
В
7.5Уязвимость функции smc_clc_wait_msg() модуля net/smc/smc_clc.c реализации семейства протоколов сокетов SMC ядра операцио2026-04-23 С
5.5Уязвимость функции wdm_in_callback() модуля drivers/usb/class/cdc-wdm.c драйвера устройств шины USB ядра операционной си2026-03-04 С
5.3Уязвимость сервиса iCloud операционных систем macOS, связанная с ошибками использования стандартных разрешений, позволяю2025-01-17 С
5.9Уязвимость браузера Mozilla Firefox Focus, связанная с обходом процедуры аутентификации посредством использования альтер2025-01-07 К
9.8Уязвимость сценария cgi.force_redirect интерпретатора языка программирования PHP, позволяющая нарушителю обойти существу2024-09-29 В
7.8Уязвимость обработчика архивных файлов архиватора WinZip, связанная с возможностью обхода механизмов защиты, позволяющая2024-09-17 С
6.1Уязвимость интерфейса OffscreenCanvas браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird, позволяюща2024-06-11 С
6.1Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird, связанная с ошибками в настройках без2024-06-11 С
6.1Уязвимость функции «Save As» («Сохранить как») браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird оп2024-06-11 Н
2.4Уязвимость компонента Screenshots (Скриншоты) операционных систем iPadOS и iOS, позволяющая нарушителю раскрыть защищаем2024-05-13 Н
2.4Уязвимость компонента Notes (Заметки) операционных систем iPadOS и iOS, позволяющая нарушителю раскрыть защищаемую инфор2024-05-13 С
6.5Уязвимость компонента FileTransfer программного обеспечение для управления сетью SAN Brocade SANnav, позволяющая нарушит2024-04-15 С
6.1Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird, существующая из-за непринятия мер по 2024-03-19 К
8.8Уязвимость службы регистрации ошибок Windows Error Reporter браузеров Mozilla Firefox, Firefox ESR и почтового клиента T2024-03-19 С
7.8Уязвимость функции защиты целостности кода гипервизором Hypervisor-protected Code Integrity (HVCI) операционной системы 2024-03-12 С
5.5Уязвимость Защитника Microsoft (Microsoft Defender) операционных систем Windows, позволяющая нарушителю обойти существую2024-03-12 В
7.5Уязвимость реализации сетевого протокола Kerberos операционных систем WIndows, позволяющая нарушителю обойти ограничения2024-03-12 С
4.3Уязвимость браузера Mozilla Firefox связанная с ошибками при обработке SameSite cookies, позволяющая нарушителю оказать 2024-02-20 С
5.5Уязвимость ядра операционной системы Windows, позволяющая нарушителю обойти ограничения безопасности2024-02-13 С
7.9Уязвимость микропрограммного обеспечения UEFI (BIOS) рабочих станций HP, позволяющая нарушителю повысить свои привилегии2024-02-13 В
7.6Уязвимость компонента защиты от фишинга и вредоносных программ SmartScreen операционных систем Windows, позволяющая нару2024-02-13 В
8.3Уязвимость браузера Microsoft Edge, связанная с ошибками в настройках безопасности, позволяющая нарушителю обойти защитн2024-02-01 С
6.5Уязвимость браузера Microsoft Edge, связанная с обходом функции безопасности, позволяющая нарушителю повысить свои приви2024-01-30 С
4.2Уязвимость реализации механизма HSTS (HTTP Strict Transport Security) браузервов Mozilla Firefox, Firefox ESR и почтовог2024-01-26 В
8.3Уязвимость браузера Microsoft Edge, связанная с ошибками в настройках безопасности, позволяющая нарушителю повысить свои2024-01-25 В
6.8Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird, связанная с ошибками в настройках без2024-01-23 С
4.2Уязвимость изолированной среды iframe браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird, позволяюща2024-01-23 С
6.3Уязвимость компонента NSOpenPanel операционной системы macOS, позволяющая нарушителю раскрыть защищаемую информацию2024-01-23 В
6.3Уязвимость браузера Microsoft Edge, связанная с ошибками в настройках безопасности, позволяющая нарушителю обойти сущест2024-01-11 С
5.5Уязвимость компонента DesktopServices операционной системы macOS, позволяющая нарушителю обойти проверки Gatekeeper2024-01-10 С
5.5Уязвимость технологии контроля доступа App Sandbox операционной системы macOS, позволяющая нарушителю выйти из изолирова2024-01-10 С
5.5Уязвимость изолированной программной среды Sandbox операционной системы macOS, позволяющая нарушителю получить несанкцио2024-01-10 Н
3.3Уязвимость компонента Messages операционной системы macOS, позволяющая нарушителю раскрыть защищаемую информацию2024-01-10 В
7.5Уязвимость HTML-платформы операционных систем Windows, позволяющая нарушителю обойти ограничения безопасности2024-01-09 В
8.7Уязвимость библиотек Microsoft.Data.Sqlclient (MDS) и System.Data.Sqlclient (SDS) программных платформ Microsoft .NET Fr2024-01-09 В
9.0Уязвимость реализации протокола Kerberos операционных систем Windows, позволяющая нарушителю обойти ограничения безопасн2024-01-09 К
9.8Уязвимость программных платформ Microsoft .NET Framework, .NET и средства разработки программного обеспечения Microsoft 2024-01-09 В
6.5Уязвимость компонента VideoBridge браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird, позволяющая на2023-12-19 В
8.8Уязвимость программной платформы Microsoft .NET Framework, связанная с ошибками в настройках безопасности, позволяющая н2023-11-14 В
8.0Уязвимость локального шлюза данных Microsoft On-Premises Data Gateway, связанная с ошибками в настройках безопасности, п2023-11-14 В
7.8Уязвимость пакета программ Microsoft Office, связанная с ошибками в настройках безопасности, позволяющая нарушителю обой2023-11-14 К
8.8Уязвимость компонента защиты от фишинга и вредоносных программ SmartScreen операционных систем Windows, позволяющая нару2023-11-14 С
6.2Уязвимость программной платформы ASP.NET Core, связанная с ошибками в настройках безопасности, позволяющая нарушителю ра2023-11-14 В
6.8Уязвимость компонента Emoji операционной системы macOS, позволяющая нарушителю выполнить произвольный код2023-10-25 С
6.1Уязвимость браузеров Firefox и Firefox ESR и почтового клиента Thunderbird, связанная с недостаточным предупреждением об2023-10-24 С
5.4Уязвимость механизма Mark-of-the-Web (MoTW) операционных систем Windows, позволяющая нарушителю обойти ограничения безоп2023-10-10 С
6.1Уязвимость драйвера TrEEConfigDriver фреймворка для создания UEFI-прошивок InsydeH2O, позволяющая нарушителю реализовать2023-10-10 В
6.5Уязвимость компонента Search операционной системы Windows, позволяющая нарушителю обойти ограничения безопасности2023-10-10 Н
4.4Уязвимость ядра операционной системы Windows, связанная с ошибками в настройках безопасности, позволяющая нарушителю обо2023-10-10 С
4.3Уязвимость браузера Safari операционной системы macOS, позволяющая нарушителю получить несанкционированный доступ к защи2023-09-27Отслеживайте уязвимости автоматически
КиберОснова SGRC: учёт уязвимостей CWE-254 и других типов из БДУ ФСТЭК, задачи на устранение с плановым сроком.
