Данная угроза заключается в преднамеренном или непреднамеренном внедрении в разрабатываемую программу заимствованных у сторонних разработчиков ПО компонентов (программные модули, исходный код), содержащих уязвимости. Уязвимости программы, появившиеся из–за применения уязвимых компонентов, в дальнейшем могут быть использованы с целью выполнения компьютерных атак на информационные системы пользователей, применяющих ПО.

Реализация данной угрозы внутренним нарушителем может быть осуществлена путем использования при разработке программных модулей или исходного кода программ сторонних разработчиков, содержащих уязвимости, а также внесения изменений в программные модули или исходный код программ сторонних разработчиков ПО, используемые при разработке программы в среде разработки ПО или в процессе их передачи из среды разработки стороннего разработчика ПО.

Внешний нарушитель может реализовывать данную угрозу путем удаленного доступа (из внешних сетей связи общего пользования и (или) сетей международного информационного обмена) к программным модулям или исходному коду программ сторонних разработчиков ПО, используемым при разработке программы. Реализация данной угрозы внешним нарушителем возможна при условии подключения среды разработки ПО к внешним сетям связи общего пользования и (или) сетям международного информационного обмена.

Угроза обусловлена недостатками в реализованных разработчиком ПО мерах контроля доступа и контроля целостности, применяемых к объектам среды разработки ПО, и мерах по разработке безопасного ПО, в частности: некачественным или неполным анализом уязвимостей в компонентах, заимствованных у сторонних разработчиков ПО, недостатками в мерах, связанных с управлением конфигурацией ПО, обучением работников разработчика ПО в области разработки безопасного ПО и проведением систематического поиска уязвимостей программы [из 5.3.2 Угроза внедрения уязвимостей программы путем использования заимствованных у сторонних разработчиков программного обеспечения уязвимых компонентов ГОСТ Р 58412–2019]