Данная угроза заключается в непреднамеренном совершении ошибок работниками разработчика ПО при управлении конфигурацией ПО или преднамеренной модификации объектов среды разработки ПО, создаваемых или используемых разработчиком ПО при управлении конфигурацией ПО, что может стать причиной появления уязвимостей программы в случае необнаружения модификаций. Совершаемые ошибки могут носить случайный характер или быть связаны с неверным планированием управления конфигурацией ПО, неверной идентификацией элементов конфигурации или эксплуатацией системы управления конфигурацией ПО способами, не соответствующими порядку ее использования, вследствие случайных неверных или неквалифицированных действий работников разработчика ПО. Совершенные ошибки, при условии их необнаружения или неисправления, могут стать причиной передачи пользователю программы, содержащей известные уязвимости, или эксплуатационных документов, не соответствующих передаваемой программе, что может стать причиной неверной конфигурации программы и (или) ее среды функционирования. Уязвимости программы, появившиеся из–за использования модифицированных объектов среды разработки ПО, создаваемых или используемых разработчиком ПО при управлении конфигурацией ПО, в дальнейшем могут быть использованы с целью выполнения компьютерных атак на информационные системы пользователей, применяющих ПО.

Примечание — В качестве примера можно привести внесение программных закладок в используемые для управления конфигурацией ПО инструментальные средства, которые будут внедрять уязвимости в создаваемую программу.

Реализация данной угрозы внутренним нарушителем может быть осуществлена путем влияния на процесс управления конфигурацией ПО или внесения изменений в любые объекты среды разработки ПО, создаваемые или используемые при управлении конфигурацией ПО, путем осуществления санкционированного или несанкционированного доступа.

Внешний нарушитель может реализовывать данную угрозу путем удаленного доступа (из внешних сетей связи общего пользования и (или) сетей международного информационного обмена) к объектам среды разработки ПО, создаваемым или используемым разработчиком ПО при управлении конфигурацией ПО. Реализация данной угрозы внешним нарушителем возможна при условии подключения среды разработки ПО к внешним сетям связи общего пользования и (или) сетям международного информационного обмена.

Угроза обусловлена недостатками в реализованных разработчиком ПО мерах контроля доступа и контроля целостности, применяемых к объектам среды разработки ПО, и мерах по разработке безопасного ПО, в частности: в мерах, связанных с управлением конфигурацией ПО, обучением работников разработчика ПО в области разработки безопасного ПО и проведением систематического поиска уязвимостей программы.

Примечание — В качестве примеров объектов среды разработки ПО можно привести: инструментальные средства, используемые для управления конфигурацией ПО, связанную с ними информацию, документы, описывающие использование системы управления конфигурацией ПО.

[из 5.7.1 Угроза внедрения в программу уязвимостей при управлении конфигурацией программного обеспечения ГОСТ Р 58412–2019]