Уязвимости Microsoft Edge: CVE, БДУ ФСТЭК и мониторинг
Уязвимости Microsoft Edge из реестра БДУ ФСТЭК: 3 613 записей. CVE, CVSS-оценки и сроки устранения по приказу ФСТЭК №117.
Уязвимости Microsoft Edge из БДУ ФСТЭК
Показаны уязвимости с подтверждённой эксплуатацией (KEV, EPSS ≥ 10%, exploit). Всего в БДУ: 3 613.
Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP, связанная с чтением за границами буфера в памяти, позволяющая нарушителю выполнить произвольный код
Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю выполнить произвольный код
Уязвимость браузера Microsoft Edge, позволяющая нарушителю вызвать отказ в обслуживании или выполнить произвольный код
Уязвимость браузера Internet Explorer и Microsoft Edge, связанная с повторным освобождением памяти, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаем
Уязвимость библиотеки mshtml.dll браузеров Internet Explorer и Microsoft Edge , позволяющая нарушителю выполнить произвольный код
Уязвимость браузера Microsoft Edge, позволяющая нарушителю вызвать отказ в обслуживании или выполнить произвольный код
Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю вызвать отказ в обслуживании
Уязвимость компонента CSS браузера Google Chrome, позволяющая нарушителю выполнить произвольный код
Уязвимость встроенного браузера Microsoft Edge операционных систем Microsoft Windows, позволяющая нарушителю выполнить произвольный код
Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome, позволяющая нарушителю выполнить произвольный код
Почему важно отслеживать уязвимости Microsoft Edge
Microsoft Edge — браузер компании Microsoft на движке Chromium, штатный компонент Windows и типовое рабочее место в ГИС и ИСПДн. Как и все Chromium-браузеры, Edge накапливает уязвимости класса use-after-free (CWE-416), путаницы типов (CWE-843) и межсайтового скриптинга (XSS, CWE-79) — критичные баги движка V8 и рендеринга дают удалённое выполнение кода при открытии вредоносной страницы. Microsoft выпускает обновления безопасности вслед за циклом Chromium — примерно раз в четыре недели плюс внеплановые патчи для активно эксплуатируемых 0-day. По приказу ФСТЭК №117 уязвимость с CVSS 9.0+ устраняется за 24 часа, 7.0-8.9 — за 7 дней; для ИСПДн и значимых объектов КИИ сроки устанавливает внутренний регламент (приказы №21 и №239 числовых сроков не задают). КиберОснова привязывает уязвимости из БДУ ФСТЭК к вашим ИТ-активам. Срок устранения — плановая дата задачи ИБ, исполнитель получает уведомление о сроке.
Сроки устранения по приказу ФСТЭК №117
Приказ ФСТЭК № 117 (п. 38) задаёт сроки устранения уязвимостей по уровню опасности: критические — не более 24 часов, высокие — не более 7 календарных дней. Для средних и низких сроки определяет внутренний регламент по защите информации. Вместо устранения допускаются компенсирующие меры. Методика оценки КЗИ ФСТЭК добавляет контроль критических уязвимостей: на узлах, доступных из интернета, обновление не должно ждать установки больше 30 дней с публикации, на рабочих станциях и серверах — больше 90 дней.
CVSS 9.0–10.0
24 часа
CVSS 7.0–8.9
7 дней
CVSS 4.0–6.9
По регламенту
CVSS 0.1–3.9
По регламенту
Полезные ресурсы
Автоматизируйте мониторинг уязвимостей Microsoft Edge
SGRC-платформа КиберОснова: загрузка БДУ ФСТЭК по расписанию (периодичность задаёт администратор), задачи ИБ с ответственным и сроком, уведомления.
