CVE-2021-38163
CriticalSummary
W wersjach SAP NetWeaver (Visual Composer 7.0 RT) 7.30, 7.31, 7.40, 7.50, brak ograniczeń pozwala uwierzytelnionemu atakującemu jako użytkownikowi niebędącemu administratorem na przesłanie złośliwego pliku przez sieć i wywołanie jego przetwarzania. To może prowadzić do uruchomienia poleceń systemu operacyjnego z uprawnieniami procesu Java Server.
Risk Assessment
Atakujący może uzyskać dostęp do wrażliwych informacji na serwerze, modyfikować je lub całkowicie unieruchomić serwer, co prowadzi do poważnych zakłóceń w działaniu organizacji.
Recommendation
Zaleca się aktualizację do najnowszej wersji SAP NetWeaver oraz wdrożenie odpowiednich środków zabezpieczających, aby ograniczyć możliwość przesyłania złośliwych plików przez użytkowników niebędących administratorami.
Original NVD description (English source)
SAP NetWeaver (Visual Composer 7.0 RT) versions - 7.30, 7.31, 7.40, 7.50, without restriction, an attacker authenticated as a non-administrative user can upload a malicious file over a network and trigger its processing, which is capable of running operating system commands with the privilege of the Java Server process. These commands can be used to read or modify any information on the server or shut the server down making it unavailable.