Переполнение буфера с точки зрения безопасности ИС, внешняя или внутренняя уязвимость?

Question

[Sergey Bocharov]

Уточню, переполнение буфера в ИС компании, которая проходит ISO 27001 аудит. Тепер данная уязвимость для нее внутренняя или внешняя.
Например с точки зрения 27001 если серверная не защищена, и могуть украсть сервер, то это внешняя уязвимость,
а вот уязвимость переполнения диска сервера внутренняя.

Answer 1

[Рональд Макдональд]

Если оверфлоу происходит в локальной программе, то внутренняя.
Если на веб-сервере и вызывается специально оформленным запросом, то внешняя.

Comments

[Владимир Коротенко]

Дурацкое деление
Вот сервер прожевал а интерпретатор не смог

Это тогда как

Или вообще файловая система рухнула

Answer 2

[Владимир Дубровин]

Переполнение буфера это класс программных ошибок, который может приводить к уязвимости. Приводит ли он к уязвимости и к какой зависит от того, где именно это переполнение буфера возникает и кем, как и через какой вектор оно может быть проэксплуатировано.

Answer 3

[Sergey Bocharov]

По стандарту ISO 27001 фактически внутренняя уязвимость.

Specifically, assets have internal (or intrinsic) and external (or extrinsic) vulnerabilities. For example, with respect to information and communication technology (ICT), intrinsic vulnerabilities can be found within system design, security configurations, hardware, and software, among other areas (ENISA, 2017).

https://www.unodc.org/e4j/en/cybercrime/module-9/k...