CVE-2016-6142
WysokieStreszczenie
SAP HANA DB w wersji 1.00.73.00.389160 umożliwia zdalnym atakującym wstrzykiwanie dowolnych pól ścieżki audytu do SYSLOG za pomocą wektorów związanych z protokołem SQL.
Ocena ryzyka
Atakujący mogą manipulować danymi audytu, co może prowadzić do utraty integralności logów oraz utrudnienia w wykrywaniu nieautoryzowanych działań.
Rekomendacja
Zaleca się aktualizację SAP HANA DB do najnowszej wersji oraz wdrożenie odpowiednich środków zabezpieczających w celu ochrony przed wstrzyknięciami SQL.
Inne podatności w SAP HANA DB
Zobacz wszystkie- CVE-2016-6148Wysokie
SAP HANA DB w wersji 1.00.73.00.389160 umożliwia zdalnym atakującym spowodowanie odmowy usługi (zakończenie procesu) lub wykonanie dowolnego kodu poprzez wektory związane z instrukcją IMPORT.
- CVE-2015-7994Wysokie
Interfejs SQL w SAP HANA DB 1.00.73.00.389160 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślone wektory związane z 'SQL Login'.
- CVE-2015-7993Wysokie
Usługa Extended Application Services (XS) w SAP HANA DB 1.00.73.00.389160 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślone wektory związane z 'Logowaniem HTTP'.
- CVE-2016-6143Krytyczne
SAP HANA DB w wersji 1.00.73.00.389160 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wykorzystanie luk w logach audytu.
Oryginalny opis (angielski, źródło NVD)
SAP HANA DB 1.00.73.00.389160 (NewDB100_REL) allows remote attackers to inject arbitrary audit trail fields into the SYSLOG via vectors related to the SQL protocol, aka SAP Security Note 2197459.