CWE-295
MITRE Некорректная проверка сертификатов
Improper Certificate Validation
CWE-295 — некорректная проверка сертификатов: программа не проверяет сертификат или проверяет его неверно. Ошибка встречается в клиентах и шлюзах, где не выстраивается цепочка доверия, не сверяются срок и имя узла, а проверка отключается параметром verify=False. Злоумышленник перехватывает и подменяет передаваемые данные, а также получает учётные данные пользователя.
Как защититься от CWE-295
Чтобы защититься от CWE-295, аккуратно управляйте сертификатами и проверяйте их перед использованием, чтобы данные шифровались открытым ключом именно того владельца, которому они адресованы. Если применяется certificate pinning, до закрепления полностью проверьте все значимые свойства сертификата, включая имя узла, и не отключайте проверку параметрами вроде verify=False.
Уязвимости с типом CWE-295 (50)
С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить целостность защищаемой С
Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить целостность защищаемой С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить целостность защищаемой С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить целостность защищаемой С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимость операционной системы SUSE Linux Enterprise, позволяющая злоумышленнику нарушить конфиденциальность, целостнос С
Уязвимость операционной системы openSUSE, позволяющая злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимость операционной системы SUSE Linux Enterprise, позволяющая злоумышленнику нарушить конфиденциальность, целостнос В
9.1Уязвимость программного обеспечения для управления платформой Eclipse ioFog Operator, связанная с ошибками процедуры под2026-10-26 В
6.7Уязвимость функции tls.checkServerIdentity() программной платформы Node.js, позволяющая нарушителю обойти существующие м2026-10-21 В
7.4Уязвимость функции tls.checkServerIdentity() программной платформы Node.js, позволяющая нарушителю обойти существующие м2026-10-21 В
7.4Уязвимость функции tls.checkServerIdentity() программной платформы Node.js, позволяющая нарушителю обойти существующие м2026-10-21 В
6.8Уязвимость набора доверенных корневых сертификатов CA Certificates, связанная с ошибками процедуры подтверждения подлинн2026-10-20 В
7.4Уязвимость службы Active Directory Federation Services (AD FS) операционных систем Windows, позволяющая нарушителю прово2026-10-13 В
7.4Уязвимость функции freerdp_http_request() RDP-клиента FreeRDP, позволяющая нарушителю подменить RDP-сервер2026-10-12 В
10.0Уязвимость облачной платформы Microsoft Partner Center, связанная с ошибками процедуры подтверждения подлинности сертифи2026-10-08 В
9.1Уязвимость функции check_for_unknown_exts() криптографической библиотеки GnuTLS, позволяющая нарушителю выполнить атаку 2026-10-07 С
6.2Уязвимость программы мгновенного обмена сообщениями Adobe Connect, связанная с ошибками процедуры подтверждения подлинно2026-09-22 С
8.3Уязвимость программного обеспечения администрирования сети Cisco Secure Firewall Management Center (ранее Cisco Firepowe2026-09-16 К
9.8Уязвимость межсетевых экранов Check Point Security Gateway и Check Point Spark Firewall, связанная с ошибками процедуры 2026-09-07 В
7.4Уязвимость программного средства для обеспечения безопасного удаленного доступа к данным Palo Alto Networks GlobalProtec2026-08-12 С
5.5Уязвимость наборов библиотек Content Credentials SDK, связанная с ошибками процедуры подтверждения подлинности сертифика2026-08-11 С
7.4Уязвимость команд cosign verify-blob и cosign verify-blob-attestation инструмента для цифровой подписи Sigstore Cosign, 2026-08-06 С
5.4Уязвимость компонента Loader веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить доступ к защи2026-07-28 В
7.5Уязвимость компонента FedCM веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить доступ к защищ2026-07-28 С
4.3Уязвимость компонента CORS веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю оказать воздействие на ц2026-07-28 К
9.3Уязвимость функции x509_utils_verify() RDP-клиента FreeRDP, позволяющая нарушителю обойти существующие механизмы безопас2026-07-15 С
4.2Уязвимость службы Cryptographic Services операционных систем Windows, позволяющая нарушителю обойти ограничения безопасн2026-07-14 С
7.5Уязвимость функции-инициализатора переменной internalAPITransport файла modules/private/internal.go системы управления G2026-07-13 В
8.1Уязвимость программного обеспечения etcd, связанная с некорректным применением механизма проверки отозванных сертификато2026-07-09 В
8.7Уязвимость агента удаленного доступа пользователей к корпоративным ресурсам и приложениям Palo Alto Networks Prisma Acce2026-07-08 В
9.3Уязвимость функции tls_match_hostname() файла libfreerdp/crypto/tls.c RDP-клиента FreeRDP, позволяющая нарушителю подмен2026-07-08 Н
3.3Уязвимость инструмента автоматизации настройки и сборки проектов на базе BitBake kas, связанная с некорректной проверкой2026-06-23 В
9.1Уязвимость функций mg_tls_verify_cert_san() и mg_tls_verify_cert_cn() файла src/tls_builtin.c библиотеки Mongoose, позво2026-06-23Отслеживайте уязвимости автоматически
КиберОснова SGRC: учёт уязвимостей CWE-295 и других типов из БДУ ФСТЭК, задачи на устранение с плановым сроком.
