CVE
9 статей с этим тегом
Какую CVE закрывать первой — что на самом деле измеряют CVSS, EPSS и KEV
CVSS — это тяжесть, EPSS — вероятность эксплуатации, KEV — подтверждённый факт эксплуатации. Они не заменяют друг друга. Наши данные по всем 1 695 записям KEV: 64% ниже CVSS 9 и 24% ниже EPSS 0.1 — и «чиним только высокие оценки», и «EPSS низкий — подождёт» проваливаются на реальных данных. Порядок: KEV → высокий EPSS → высокий CVSS, а срок определяйте по собственной доступности извне.
Много ли уязвимостей в Next.js и React? Что на самом деле показывают данные CVE
Данные показывают, что у ядра React почти нет CVE, а CVE Next.js многочисленны и их становится больше. Важно, где они возникают: в middleware, кешировании, оптимизации изображений и Server Actions, а среди CWE лидируют SSRF, десериализация и обход авторизации. Вывод сайта: Next.js нельзя считать только фронтенд-фреймворком. Он работает как сервер, поэтому защищайте его как сервер: повторно проверяйте авторизацию у данных, ограничивайте исходящие запросы белым списком и закрывайте точки Server Actions аутентификацией.
Как по-настоящему закрывать CVE в зависимостях: сканировать, исправлять, изолировать и продолжать следить
Работа с уязвимостями не закончена, когда вы «исправили». Готово = 1) скан, 2) фикс, 3) изоляция/передача, 4) мониторинг. Пока не налажен мониторинг (ежедневное обнаружение изменений), это незавершённо — зависимости снова станут уязвимыми завтра. Идеальное исправление, которое перезаписывает следующий деплой, стоит ноль. Малые команды остаются в безопасности за счёт двух дисциплин: автоматического обнаружения изменений и «локально→push→деплой».
Установка и использование osv-scanner: автоматический поиск CVE в ваших зависимостях
osv-scanner сканирует lock-файлы и контейнеры, выявляя CVE в ваших зависимостях, бесплатно. Здесь разобраны установка, запуск и интеграция в CI, плюс когда применять его vs npm/pnpm audit vs Dependabot. Взгляд этого сайта: какой инструмент подходит, зависит от вашей конфигурации. Используйте osv-scanner для проектов с несколькими экосистемами или без GitHub, и встроенный pnpm audit для одного npm-дерева.
Что такое CVE? Как устроена общая система идентификаторов уязвимостей
CVE — это глобально общий идентификатор уязвимости (например, CVE-2025-12345). CVE = имя, CVSS = серьёзность, KEV = эксплуатируется ли она. Это якорь для мониторинга. Отслеживайте машинами, а не вручную.
Что такое RCE (Remote Code Execution) — почему это худший класс багов
RCE позволяет атакующему выполнить произвольный код на вашем сервере — прямой путь к захвату, худший класс. То, насколько далеко распространится ущерб, задаётся привилегиями работающего процесса. Главные средства защиты — быстрые патчи, мониторинг CVE и минимум привилегий.
Утечка Equifax (2017) — как неустановленное исправление Apache Struts привело к утечке данных 147M человек
Причиной стал известный, уже исправленный CVE (CVSS 10.0), оставленный без установки в публичной системе. Истёкший сертификат мониторинга скрывал эксфильтрацию 76 дней. В вашей среде: инвентаризация активов, SLA на патчинг, машинный мониторинг и работоспособное обнаружение.
Log4Shell (CVE-2021-44228) — уязвимость библиотеки логирования и почему командам было трудно быстро понять, используют ли они её
Баг CVSS 10.0 в Log4j. Главная проблема — транзитивная зависимость: быть затронутым через библиотеку, об использовании которой вы не знали. Пассивный путь логирования стал вектором атаки. SBOM, машинный мониторинг, быстрый патчинг и отслеживание последующих CVE — вот уроки.
Безопасный запуск Next.js: не отставать от опубликованных CVE
Главный риск фреймворка — заброшенные опубликованные CVE. Защищайтесь четырьмя практиками: судите по работающей версии, мониторьте Dependabot/osv-scanner, быстро обновляйтесь и работайте с минимумом привилегий. Взгляд этого сайта: инди-разработчикам обычно не хватает не знаний, а способа поддерживать эксплуатацию; система, которая не пропускает CVE, важнее скорости.