• недостатки, связанные с неправильной настройкой параметров ПО.

Примечание — Неправильная настройка параметров ПО заключается в отсутствии необходимого параметра, присвоении параметру неправильных значений, наличии избыточного числа параметров или неопределенных параметров ПО.

[из 5.2.(1) Недостатки, связанные с неправильной настройкой параметров ПО ГОСТ Р 56546—2015]

• недостатки, связанные с возможностью прослеживания пути доступа к каталогам.

Примечание — Прослеживание пути доступа к каталогам заключается в отслеживании пути доступа к каталогу (по адресной строке/составному имени) и получении доступа к предыдущему/корневому месту хранения данных.

[из 5.2.(3) Недостатки, связанные с возможностью прослеживания пути доступа к каталогам ГОСТ Р 56546—2015]

• недостатки, связанные с возможностью внедрения команд ОС.

Примечание — Внедрение команд ОС заключается в возможности выполнения пользователем команд ОС (например, просмотра структуры каталогов, копирование, удаление файлов и другие команды).

[из 5.2.(5) Недостатки, связанные с возможностью внедрения команд ОС ГОСТ Р 56546—2015]

• недостатки, связанные с внедрением интерпретируемых операторов языков программирования или разметки.

Примечание — Недостатки связаны с внедрением интерпретируемых операторов языков программирования (например, операции выбора, добавления, удаления и другие) или разметки в исходный код веб–приложения.

[из 5.2.(7) Недостатки, связанные с внедрением интерпретируемых операторов языков программирования или разметки ГОСТ Р 56546—2015]

• недостатки, связанные с переполнением буфера памяти.

Примечание — Переполнение буфера возникает в случае, когда ПО осуществляет запись данных за пределами выделенного в памяти буфера. Переполнение буфера обычно возникает из–за неправильной работы с данными, полученными извне, и памятью, при отсутствии защиты со стороны среды программирования и ОС. В результате переполнения буфера могут быть испорчены данные, расположенные следом за буфером или перед ним. Переполнение буфера может вызывать аварийное завершение или зависание ПО. Отдельные виды переполнений буфера (например, переполнение в стековом кадре) позволяют нарушителю выполнить произвольный код от имени ПО и с правами учетной записи, от которой она выполняется.

[из 5.2.(9) Недостатки, связанные с переполнением буфера памяти ГОСТ Р 56546—2015]

• недостатки, связанные с вычислениями.

Примечание — К недостаткам, связанным с вычислениями, относятся следующие:

• некорректный диапазон, когда ПО использует неверное максимальное или минимальное значение, которое отличается от верного на единицу в большую или меньшую сторону;
• ошибка числа со знаком, когда нарушитель может вводить данные, содержащие отрицательное целое число, которые программа преобразует в положительное нецелое число;
• ошибка усечения числа, когда часть числа отсекается (например, вследствие явного или неявного преобразования или иных переходов между типами чисел);
• ошибка индикации порядка байтов в числах, когда в ПО смешивается порядок обработки битов (например, обратный и прямой порядок битов), что приводит к неверному числу в содержимом, имеющем критическое значение для безопасности;
• недостатки, приводящие к утечке/раскрытию информации ограниченного доступа.

Примечание — Утечка информации — преднамеренное или неумышленное разглашение информации ограниченного доступа (например, существуют утечки информации при генерировании ПО сообщения об ошибке, которое содержит сведения ограниченного доступа). Недостатки, приводящие к утечке/раскрытию информации ограниченного доступа, могут возникать вследствие наличия иных ошибок (например, ошибок, связанных с использованием скриптов).

[из 5.2.(11) Недостатки, связанные с вычислениями ГОСТ Р 56546—2015]

• недостатки, связанные с управлением разрешениями, привилегиями и доступом.

Примечание — К недостаткам, связанным с управлением разрешениями, привилегиями и доступом, относятся, например, превышение привилегий и полномочий, необоснованное наличие суперпользователей в системе, нарушение политики разграничения доступа и другие.

[из 5.2.(13) Недостатки, связанные с управлением разрешениями, привилегиями и доступом ГОСТ Р 56546—2015]

• недостатки, связанные с криптографическими преобразованиями (недостатки шифрования).

Примечание — К недостаткам, связанным с криптографическими преобразованиями, относятся ошибки хранения информации в незашифрованном виде, ошибки при управлении ключами, использование несертифицированных средств криптографической защиты информации.

[из 5.2.(15) Недостатки, связанные с криптографическими преобразованиями (недостатки шифрования) ГОСТ Р 56546—2015]

• недостатки, приводящие к «состоянию гонки».

Примечание — «Состояние гонки» — ошибка проектирования многопоточной системы или приложения, при которой функционирование системы или приложения зависит от порядка выполнения части кода. «Состояние гонки» является специфической ошибкой, проявляющейся в случайные моменты времени.

[из 5.2.(17) Недостатки, приводящие к «состоянию гонки» ГОСТ Р 56546—2015]

• иные типы недостатков.

Примечание — По результатам выявления уязвимостей ИС перечень типов недостатков может дополняться.

[из 5.2.(19) Иные типы недостатков ГОСТ Р 56546—2015]