CVE-2016-3974
KrytyczneStreszczenie
Podatność XXE w Configuration Wizard w SAP NetWeaver Java AS w wersjach 7.1 do 7.5 umożliwia zdalnym atakującym wywołanie odmowy usługi, przeprowadzenie ataków SMB Relay lub dostęp do dowolnych plików poprzez spreparowane żądanie XML.
Ocena ryzyka
Organizacja może być narażona na ataki, które mogą prowadzić do utraty dostępności usług oraz nieautoryzowanego dostępu do danych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji SAP NetWeaver Java AS oraz zastosowanie odpowiednich zabezpieczeń w celu zminimalizowania ryzyka związanych z tą podatnością.
Oryginalny opis (angielski, źródło NVD)
XML external entity (XXE) vulnerability in the Configuration Wizard in SAP NetWeaver Java AS 7.1 through 7.5 allows remote attackers to cause a denial of service, conduct SMB Relay attacks, or access arbitrary files via a crafted XML request to _tc~monitoring~webservice~web/ServerNodesWSService, aka SAP Security Note 2235994.