Недавно обнаружили несколько уязвимостей в ПО Sherpa RPA Orchestrator и передали технические подробности вендору.

К сожалению, вендор не проявил заинтересованности в исправлении уязвимостей и перестал отвечать, после передачи технических подробностей.
Выждав 90 дней, мы обратились в MITRE и БДУ ФСТЭК, чтобы поставить в известность пользователей данного ПО.

Делимся своим опытом:
При обращении в БДУ ФСТЭК (https://bdu.fstec.ru/contacts/vulreport), происходит официальное уведомление вендора о наличии уязвимости и необходимости ее устранить.

Весь процесс от подачи заявки для регистрации уязвимостей до их публикации, а также исправления занял у нас 120 дней.
Представители БДУ ФСТЭК оказали влияние на вендора для исправления уязвимостей и зарегистрировали их:
https://bdu.fstec.ru/vul/2025-03851
https://bdu.fstec.ru/vul/2025-03852
https://bdu.fstec.ru/vul/2025-03853
https://bdu.fstec.ru/vul/2025-03854

А еще у БДУ ФСТЭК есть классный рейтинг: https://bdu.fstec.ru/rating.

Если требуется зарегистрировать CVE, то быстрее всего получится это сделать через MITRE (https://cveform.mitre.org/).
Также можете попробовать подать через https://vuldb.com/.
А если и тут не получится, то можно попробовать пристыдить их в твиттере 🙂

Весь процесс от подачи заявки для регистрации CVE до их публикации составил 51 день.
Из минусов - MITRE могут посчитать неверно CVSS, но кто вообще смотрит на CVSS, верно?)

Ссылки на зарегистрированные CVE:
https://nvd.nist.gov/vuln/detail/CVE-2025-46544
https://nvd.nist.gov/vuln/detail/CVE-2025-46545
https://nvd.nist.gov/vuln/detail/CVE-2025-46546
https://nvd.nist.gov/vuln/detail/CVE-2025-46547

📣Всем привет!

До Practical Security Village осталось меньше месяца

В этом году воркшоп пройдет в Калининграде на площадке кинотеатра «Заря»

Вас ждут:

🔵 интересные таски разного уровня сложности на взлом веб- и мобильных приложений, инфраструктуры и физических девайсов
🔵 воркшоп по пайке — можно будет получить полезные навыки и забрать с собой памятный артефакт
🔵 традиционные лимитированные футболки с нашими принтами
🔵 крутой мерч для самых активных участников
🔵 атмосферная музыка и живое общение с единомышленниками

Воркшоп пройдет 11-12 сентября в рамках конференции #PAYMENTSECURITY
Регистрация доступна на сайте

Будем рады видеть вас на Practical Security Village!

До встречи! 🚀