Aktywnie wykorzystywana w atakach
SAP NetWeaver XML External Entity (XXE) Vulnerability
SAP - NetWeaver · Figuruje w katalogu CISA KEV od 2021-11-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2016-9563
ŚrednieCVSS 6.5KEVStreszczenie
Komponent BC-BMT-BPM-DSK w SAP NetWeaver AS JAVA 7.5 pozwala zdalnym uwierzytelnionym użytkownikom przeprowadzać ataki XML External Entity (XXE) poprzez URI sap.com~tc~bpem~him~uwlconn~provider~web/bpemuwlconn (SAP Security Note 2296909).
Ocena ryzyka
Uwierzytelniony atakujący może wykorzystać XXE do odczytu plików, SSRF lub innych działań na serwerze SAP, co może prowadzić do wycieku danych.
Rekomendacja
Zastosuj SAP Security Note 2296909 i ogranicz dostęp do dotkniętego URI oraz uprawnienia użytkowników.
Inne podatności w SAP NetWeaver AS JAVA
Zobacz wszystkie- CVE-2017-7717Wysokie
W podatności CVE-2017-7717 występuje luka typu SQL injection w metodzie getUserUddiElements komponentu ES UDDI w SAP NetWeaver AS Java 7.4. Umożliwia ona zdalnym, uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
- CVE-2016-9562Wysokie
SAP NetWeaver AS JAVA 7.4 umożliwia zdalnym atakującym spowodowanie awarii usługi (Denial of Service) poprzez wysłanie żądania HTTPS do URI sap.com~P4TunnelingApp!web/myServlet, co prowadzi do wyjątku null pointer i przestoju icman.
- CVE-2015-8840Wysokie
Usługa archiwizacji danych XML (XML DAS) w SAP NetWeaver AS Java nie sprawdza autoryzacji, co pozwala zdalnym uwierzytelnionym użytkownikom uzyskać dostęp do wrażliwych informacji oraz zdobyć uprawnienia.
- CVE-2015-4091Wysokie
Podatność XXE w SAP NetWeaver AS Java 7.4 umożliwia zdalnym atakującym wysyłanie żądań TCP do serwerów intranetowych poprzez żądanie XML do tc~sld~wd~main/Main, co może prowadzić do nieokreślonych innych skutków.
- CVE-2020-6287KrytyczneAktywnie exploitowane
SAP NetWeaver AS JAVA (LM Configuration Wizard) w wersjach 7.30, 7.31, 7.40, 7.50 nie wykonuje sprawdzenia uwierzytelnienia, co pozwala nieuwierzytelnionemu atakującemu na wykonywanie zadań konfiguracyjnych i krytycznych akcji, w tym tworzenie użytkownika administracyjnego. Prowadzi to do naruszenia poufności, integralności i dostępności systemu.
- CVE-2016-2388ŚrednieAktywnie exploitowane
Podatność w Universal Worklist Configuration w SAP NetWeaver AS JAVA 7.4 pozwala zdalnym atakującym uzyskać poufne informacje o użytkownikach poprzez spreparowane żądanie HTTP. Podatność znana jest jako SAP Security Note 2256846.
Oryginalny opis (angielski, źródło NVD)
BC-BMT-BPM-DSK in SAP NetWeaver AS JAVA 7.5 allows remote authenticated users to conduct XML External Entity (XXE) attacks via the sap.com~tc~bpem~him~uwlconn~provider~web/bpemuwlconn URI, aka SAP Security Note 2296909.