CVE-2010-5326
KrytyczneStreszczenie
Serwlet Invoker na platformach SAP NetWeaver Application Server Java, prawdopodobnie przed wersją 7.3, nie wymaga uwierzytelnienia, co pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą żądania HTTP lub HTTPS. Atak ten był wykorzystywany w praktyce w latach 2013-2016, znany jako atak 'Detour'.
Ocena ryzyka
Brak uwierzytelnienia w serwlecie Invoker stwarza poważne ryzyko dla organizacji, umożliwiając zdalnym atakującym przejęcie kontroli nad systemem. Może to prowadzić do wycieku danych lub złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji SAP NetWeaver, która wymusza uwierzytelnienie dla serwletu Invoker. Dodatkowo, warto wdrożyć odpowiednie zabezpieczenia sieciowe, aby ograniczyć dostęp do serwera.
Oryginalny opis (angielski, źródło NVD)
The Invoker Servlet on SAP NetWeaver Application Server Java platforms, possibly before 7.3, does not require authentication, which allows remote attackers to execute arbitrary code via an HTTP or HTTPS request, as exploited in the wild in 2013 through 2016, aka a "Detour" attack.