astra
Группа Астра (РусБИТех)
Уязвимости
8590
Эксплуатируемые
115
Критический
580
Высокий
3797
Топ продуктов
Топ уязвимостей
CVE-2026-2778Выполнение произвольного кода в Mozilla Firefox и Thunderbird ESR
CVE-2026-2776Выполнение произвольного кода в Mozilla Firefox и Thunderbird ESR
CVE-2026-2768Выполнение произвольного кода в Mozilla Firefox и Thunderbird ESR
CVE-2026-2761Выполнение произвольного кода в Mozilla Firefox и Thunderbird ESR
CVE-2026-2760Выполнение произвольного кода в Mozilla Firefox и Thunderbird ESR
CVE-2026-0881Выполнение произвольного кода в Mozilla Thunderbird
CVE-2025-32433В Erlang/OTP выявлена серьезная уязвимость в SSH-сервере, позволяющая злоумышленнику выполнить неаутентифицированное удаленное выполнение кода (RCE). Обновление до версий OTP-27.3.3, OTP-26.2.5.11 или OTP-25.3.2.20 устраняет эту проблему. Временное решение включает отключение SSH-сервера или ограничение доступа через правила брандмауэра [1].
Источники:
- [1] https://github.com/erlang/otp/security/advisories/GHSA-37cp-fgq5-7wc2
- [2] https://github.com/erlang/otp/commit/0fcd9c56524b28615e8ece65fc0c3f66ef6e4c12
- [3] https://github.com/erlang/otp/commit/6eef04130afc8b0ccb63c9a0d8650209cf54892f
- [4] https://github.com/erlang/otp/commit/b1924d37fd83c070055beb115d5d6a6a9490b891
CVE-2025-24201Проблема записи за пределами пределов была решена с помощью улучшенных проверок для предотвращения несанкционированных действий. Эта проблема исправлена в visionOS 2.3.2, iOS 18.3.2 и iPadOS 18.3.2, macOS Sequoia 15.3.2, Safari 18.3.1. Зловредно созданный веб-контент может вырваться из песочницы веб-контента. Это дополнительное исправление для атаки, которая была заблокирована в iOS 17.2. (Apple известно о сообщении о том, что эта проблема могла быть использована в крайне сложной атаке против конкретных целевых лиц на версиях iOS до iOS 17.2.).
CVE-2025-10230Выполнение произвольного кода в Samba
CVE-2024-5261Уязвимость, связанная с некорректной проверкой сертификатов в LibreOffice, в режиме "LibreOfficeKit" отключает проверку TLS-сертификации.
LibreOfficeKit можно использовать для доступа к функциональности LibreOffice через C/C++. Обычно это используется сторонними компонентами для повторного использования LibreOffice в качестве библиотеки для преобразования, просмотра или иного взаимодействия с документами.
LibreOffice внутренне использует "curl" для получения удаленных ресурсов, таких как изображения, размещенные на веб-серверах.
В уязвимых версиях LibreOffice, при использовании только в режиме LibreOfficeKit, проверка TLS-сертификации curl была отключена (CURLOPT_SSL_VERIFYPEER = false).
В исправленных версиях curl работает в режиме LibreOfficeKit так же, как и в стандартном режиме с CURLOPT_SSL_VERIFYPEER = true.
Эта проблема затрагивает LibreOffice до версии 24.2.4.
CVE-2024-5171Переполнение целого числа в внутренней функции libaom img_alloc_helper может привести к переполнению буфера в куче. Эта функция может быть вызвана через 3 вызывающих:
* Вызов aom_img_alloc() с большим значением параметров d_w, d_h или align может привести к переполнению целого числа в расчетах размеров буферов и смещений, и некоторые поля возвращаемой структуры aom_image_t могут быть недействительными.
* Вызов aom_img_wrap() с большим значением параметров d_w, d_h или align может привести к переполнению целого числа в расчетах размеров буферов и смещений, и некоторые поля возвращаемой структуры aom_image_t могут быть недействительными.
* Вызов aom_img_alloc_with_border() с большим значением параметров d_w, d_h, align, size_align или border может привести к переполнению целого числа в расчетах размеров буферов и смещений, и некоторые поля возвращаемой структуры aom_image_t могут быть недействительными.
CVE-2022-30123Уязвимость внедрения последовательности существует в Rack <2.0.9.1, <2.1.4.1 и <2.2.3.1, которая может позволить осуществить shell escape в компонентах Lint и CommonLogger Rack.
CVE-2021-38503Правила песочницы iframe были применены неправильно к таблицам стилей XSLT, что позволило iframe обходить ограничения, такие как выполнение сценариев или навигация по фрейму верхнего уровня. Эта уязвимость затрагивает Firefox < 94, Thunderbird < 91.3 и Firefox ESR < 91.3.
CVE-2019-11708Недостаточная проверка параметров, передаваемых с сообщением Prompt:Open IPC между дочерними и родительскими процессами, может привести к тому, что неограниченный родительский процесс откроет веб-контент, выбранный скомпрометированным дочерним процессом. В сочетании с дополнительными уязвимостями это может привести к выполнению произвольного кода на компьютере пользователя. Эта уязвимость затрагивает Firefox ESR < 60.7.2, Firefox < 67.0.4 и Thunderbird < 60.7.2.
CVE-2018-18505Более раннее исправление уязвимости межпроцессного взаимодействия (IPC), CVE-2011-3079, добавило аутентификацию к связи между конечными точками IPC и родительскими серверами во время создания процесса IPC. Этой аутентификации недостаточно для каналов, созданных после запуска процесса IPC, что приводит к тому, что аутентификация неправильно применяется к более поздним каналам. Это может привести к выходу из песочницы через каналы IPC из-за отсутствия проверки сообщений в процессе прослушивания. Эта уязвимость затрагивает Thunderbird < 60.5, Firefox ESR < 60.5 и Firefox < 65.
CVE-2024-42327Учетная запись пользователя без прав администратора во внешнем интерфейсе Zabbix с ролью пользователя по умолчанию или с любой другой ролью, предоставляющей доступ к API, может использовать эту уязвимость. SQL-инъекция существует в классе CUser в функции addRelatedObjects, эта функция вызывается из функции CUser.get, которая доступна для каждого пользователя, имеющего доступ к API.
CVE-2024-41110Moby - это проект с открытым исходным кодом, созданный Docker для контейнеризации программного обеспечения. В некоторых версиях Docker Engine обнаружена уязвимость безопасности, которая может позволить злоумышленнику обойти плагины авторизации (AuthZ) при определенных обстоятельствах. Базовая вероятность эксплуатации этого низкая.
Используя специально разработанный API-запрос, клиент Engine API может заставить демон пересылать запрос или ответ плагину авторизации без тела. При определенных обстоятельствах плагин авторизации может разрешить запрос, который в противном случае был бы отклонен, если бы тело было переслано ему.
В 2018 году была обнаружена проблема безопасности, когда злоумышленник мог обойти плагины AuthZ с помощью специально созданного API-запроса. Это может привести к несанкционированным действиям, включая повышение привилегий. Хотя эта проблема была исправлена в Docker Engine v18.09.1 в январе 2019 года, исправление не было перенесено в более поздние основные версии, что привело к регрессии. Любой, кто зависит от плагинов авторизации, которые анализируют тело запроса и/или ответа для принятия решений о контроле доступа, потенциально подвержен риску.
Docker EE v19.03.x и все версии Mirantis Container Runtime не уязвимы.
docker-ce v27.1.1 содержит патчи для устранения этой уязвимости. Патчи также были объединены в основные ветки релизов 19.03, 20.0, 23.0, 24.0, 25.0, 26.0 и 26.1. Если нет возможности немедленно обновиться, избегайте использования плагинов AuthZ и/или ограничьте доступ к Docker API для доверенных лиц, следуя принципу наименьших привилегий.
CVE-2021-44142Модуль Samba vfs_fruit использует расширенные атрибуты файлов (EA, xattr) для обеспечения "...улучшенной совместимости с клиентами Apple SMB и совместимости с файловым сервером Netatalk 3 AFP". Версии Samba до 4.13.17, 4.14.12 и 4.15.5 с настроенным vfs_fruit допускают чтение и запись за пределами кучи через специально созданные расширенные атрибуты файлов. Удаленный злоумышленник с правами записи в расширенные атрибуты файлов может выполнить произвольный код с привилегиями smbd, обычно root.
CVE-2026-32746telneted intutils через 2.7 позволяет загладить в обработчике подопечных LINEMODE SLC (Set Local Characters), потому что add_slc не проверяет, заполнен ли буфер.
CVE-2026-3062Выполнение произвольного кода в Google Chrome
CVE-2026-2807Выполнение произвольного кода в Mozilla Firefox и Thunderbird
CVE-2026-2805Отказ в обслуживании в Mozilla Firefox и Thunderbird
CVE-2026-2799Выполнение произвольного кода в Mozilla Firefox и Thunderbird
CVE-2026-2797Выполнение произвольного кода в Mozilla Firefox и Thunderbird
CVE-2026-2796Выполнение произвольного кода в Mozilla Firefox и Thunderbird