CVE-2015-8840
WysokieStreszczenie
Usługa archiwizacji danych XML (XML DAS) w SAP NetWeaver AS Java nie sprawdza autoryzacji, co pozwala zdalnym uwierzytelnionym użytkownikom uzyskać dostęp do wrażliwych informacji oraz zdobyć uprawnienia.
Ocena ryzyka
Brak odpowiedniej kontroli autoryzacji może prowadzić do nieautoryzowanego dostępu do danych oraz potencjalnych nadużyć w systemie.
Rekomendacja
Zaleca się wdrożenie odpowiednich mechanizmów autoryzacji w usłudze XML DAS oraz regularne przeglądanie i aktualizowanie zabezpieczeń systemu.
Inne podatności w SAP NetWeaver AS Java
Zobacz wszystkie- CVE-2017-7717Wysokie
W podatności CVE-2017-7717 występuje luka typu SQL injection w metodzie getUserUddiElements komponentu ES UDDI w SAP NetWeaver AS Java 7.4. Umożliwia ona zdalnym, uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
- CVE-2016-9562Wysokie
SAP NetWeaver AS JAVA 7.4 umożliwia zdalnym atakującym spowodowanie awarii usługi (Denial of Service) poprzez wysłanie żądania HTTPS do URI sap.com~P4TunnelingApp!web/myServlet, co prowadzi do wyjątku null pointer i przestoju icman.
- CVE-2015-4091Wysokie
Podatność XXE w SAP NetWeaver AS Java 7.4 umożliwia zdalnym atakującym wysyłanie żądań TCP do serwerów intranetowych poprzez żądanie XML do tc~sld~wd~main/Main, co może prowadzić do nieokreślonych innych skutków.
- CVE-2020-6287KrytyczneAktywnie exploitowane
SAP NetWeaver AS JAVA (LM Configuration Wizard) w wersjach 7.30, 7.31, 7.40, 7.50 nie wykonuje sprawdzenia uwierzytelnienia, co pozwala nieuwierzytelnionemu atakującemu na wykonywanie zadań konfiguracyjnych i krytycznych akcji, w tym tworzenie użytkownika administracyjnego. Prowadzi to do naruszenia poufności, integralności i dostępności systemu.
- CVE-2016-9563ŚrednieAktywnie exploitowane
Komponent BC-BMT-BPM-DSK w SAP NetWeaver AS JAVA 7.5 pozwala zdalnym uwierzytelnionym użytkownikom przeprowadzać ataki XML External Entity (XXE) poprzez URI sap.com~tc~bpem~him~uwlconn~provider~web/bpemuwlconn (SAP Security Note 2296909).
- CVE-2016-2388ŚrednieAktywnie exploitowane
Podatność w Universal Worklist Configuration w SAP NetWeaver AS JAVA 7.4 pozwala zdalnym atakującym uzyskać poufne informacje o użytkownikach poprzez spreparowane żądanie HTTP. Podatność znana jest jako SAP Security Note 2256846.
Oryginalny opis (angielski, źródło NVD)
The XML Data Archiving Service (XML DAS) in SAP NetWeaver AS Java does not check authorization, which allows remote authenticated users to obtain sensitive information, gain privileges, or possibly have unspecified other impact via requests to (1) webcontent/cas/cas_enter.jsp, (2) webcontent/cas/cas_validate.jsp, or (3) webcontent/aas/aas_store.jsp, aka SAP Security Note 1945215.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS