Уязвимости iOS: CVE, БДУ ФСТЭК и мониторинг
Уязвимости iOS из реестра БДУ ФСТЭК: 1 715 записей. CVE, CVSS-оценки и сроки устранения по приказу ФСТЭК №117.
Уязвимости iOS из БДУ ФСТЭК
Показаны уязвимости с подтверждённой эксплуатацией (KEV, EPSS ≥ 10%, exploit). Всего в БДУ: 1 715.
Уязвимость операционной системы Windows и пакета программ Microsoft Office, позволяющая нарушителю выполнить произвольный код
Уязвимость консольного графического редактора ImageMagick, позволяющая нарушителю выполнить произвольный код
Уязвимость пакета программ Microsoft Office, позволяющая нарушителю внедрить произвольный код
Уязвимость пакета программ Microsoft Office, позволяющая нарушителю выполнить произвольный код
Уязвимость пакета программ Microsoft Office, позволяющая нарушителю выполнить произвольный код
Уязвимость пакета программ Microsoft Office, позволяющая нарушителю выполнить произвольный код
Уязвимость операционных систем iPadOS, watchOS, iOS, Mac OS, вызванная целочисленным переполнением, позволяющая нарушителю выполнить произвольный код
Уязвимость консольного графического редактора ImageMagick, позволяющая нарушителю удалить произвольные файлы
Уязвимость программных платформ Flash Player и Adobe Integrated Runtime, позволяющая нарушителю выполнить произвольный код
Уязвимость компонента WebKit операционной системы iOS, позволяющая нарушителю вызвать отказ в обслуживании или выполнить произвольный код
Почему важно отслеживать уязвимости iOS
iOS — мобильная операционная система Apple для iPhone, всё чаще попадающая в корпоративный периметр через сценарии BYOD и MDM, где на устройствах обрабатываются персональные данные. Типовые векторы: use-after-free в ядре (CWE-416), запись за границами буфера (CWE-787), обход изоляции песочницы приложений. Apple выпускает исправления кумулятивными обновлениями iOS (например, 17.x), нередко закрывая уязвимости с признаками активной эксплуатации в дикой природе (KEV). Для устройств, обрабатывающих ПДн, приказ ФСТЭК №21 требует контроля защищённости мобильной среды, а приказ №117 задаёт SLA на устранение: CVSS 9.0+ — 24 часа, 7.0-8.9 — 7 дней. КиберОснова привязывает уязвимости из БДУ ФСТЭК к вашим ИТ-активам. Срок устранения — плановая дата задачи ИБ, исполнитель получает уведомление о сроке.
Сроки устранения по приказу ФСТЭК №117
Приказ ФСТЭК № 117 (п. 38) задаёт сроки устранения уязвимостей по уровню опасности: критические — не более 24 часов, высокие — не более 7 календарных дней. Для средних и низких сроки определяет внутренний регламент по защите информации. Вместо устранения допускаются компенсирующие меры. Методика оценки КЗИ ФСТЭК добавляет контроль критических уязвимостей: на узлах, доступных из интернета, обновление не должно ждать установки больше 30 дней с публикации, на рабочих станциях и серверах — больше 90 дней.
CVSS 9.0–10.0
24 часа
CVSS 7.0–8.9
7 дней
CVSS 4.0–6.9
По регламенту
CVSS 0.1–3.9
По регламенту
Полезные ресурсы
Автоматизируйте мониторинг уязвимостей iOS
SGRC-платформа КиберОснова: загрузка БДУ ФСТЭК по расписанию (периодичность задаёт администратор), задачи ИБ с ответственным и сроком, уведомления.
