CVE-2016-9562
WysokieStreszczenie
SAP NetWeaver AS JAVA 7.4 umożliwia zdalnym atakującym spowodowanie awarii usługi (Denial of Service) poprzez wysłanie żądania HTTPS do URI sap.com~P4TunnelingApp!web/myServlet, co prowadzi do wyjątku null pointer i przestoju icman.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zakłócenia działania systemu, co może prowadzić do przestojów w usługach i utraty dostępności aplikacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji SAP NetWeaver AS JAVA oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków.
Inne podatności w SAP NetWeaver AS JAVA 7.4
Zobacz wszystkie- CVE-2017-7717Wysokie
W podatności CVE-2017-7717 występuje luka typu SQL injection w metodzie getUserUddiElements komponentu ES UDDI w SAP NetWeaver AS Java 7.4. Umożliwia ona zdalnym, uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
- CVE-2015-8840Wysokie
Usługa archiwizacji danych XML (XML DAS) w SAP NetWeaver AS Java nie sprawdza autoryzacji, co pozwala zdalnym uwierzytelnionym użytkownikom uzyskać dostęp do wrażliwych informacji oraz zdobyć uprawnienia.
- CVE-2015-4091Wysokie
Podatność XXE w SAP NetWeaver AS Java 7.4 umożliwia zdalnym atakującym wysyłanie żądań TCP do serwerów intranetowych poprzez żądanie XML do tc~sld~wd~main/Main, co może prowadzić do nieokreślonych innych skutków.
Oryginalny opis (angielski, źródło NVD)
SAP NetWeaver AS JAVA 7.4 allows remote attackers to cause a Denial of Service (null pointer exception and icman outage) via an HTTPS request to the sap.com~P4TunnelingApp!web/myServlet URI, aka SAP Security Note 2313835.