CVE-2017-9845
WysokieStreszczenie
Wersja 7400.12.21.30308 oprogramowania disp+work w SAP NetWeaver 7.40 pozwala zdalnym atakującym na spowodowanie odmowy usługi (zużycie zasobów) poprzez spreparowane żądanie DIAG.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do przeciążenia systemu, co prowadzi do przerwy w dostępności usług dla użytkowników.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji SAP NetWeaver oraz monitorowanie ruchu sieciowego w celu wykrycia podejrzanych żądań DIAG.
Inne podatności w SAP NetWeaver 7.40
Zobacz wszystkie- CVE-2016-3635Wysokie
SAP Netweaver 7.4 pozwala zdalnym uwierzytelnionym użytkownikom na ominięcie zamierzonej listy kontroli dostępu Unified Connectivity (UCON) i wykonanie dowolnych Zdalnych Modułów Funkcyjnych (RFM) poprzez wykorzystanie połączenia utworzonego podczas wcześniejszego wykonania anonimowego RFM zawartego w Zestawie Komunikacyjnym.
- CVE-2015-5067Wysokie
W narzędziach Cross-System Tools oraz Data Transfer Workbench w SAP NetWeaver znajdują się twardo zakodowane dane uwierzytelniające, co umożliwia zdalnym atakującym uzyskanie dostępu poprzez nieokreślone wektory.
- CVE-2014-4003Wysokie
Katalog Systemów (SLD) w SAP NetWeaver umożliwia zdalnym atakującym modyfikację informacji poprzez wektory związane z dodawaniem systemu.
- CVE-2015-7241Krytyczne
W podatności XXE w SAP Netweaver przed wersją 7.01, złośliwy użytkownik może wykorzystać zewnętrzne encje XML do uzyskania dostępu do danych systemowych.
- CVE-2016-10311Krytyczne
W SAP NetWeaver w wersjach od 7.0 do 7.5 występuje przepełnienie bufora na stosie, które może być wykorzystane przez zdalnych atakujących do wywołania odmowy usługi poprzez wysłanie spreparowanego pakietu do portu SAPSTARTSRV.
- CVE-2026-58249Wysokie
SAP NetWeaver i SAP Web Dispatcher nieprawidłowo walidują pewne pola w specjalnie spreparowanych żądaniach obsługiwanych przez wewnętrzny komponent protokołu. Nieuwierzytelniony atakujący może wysłać złośliwe żądanie, które wywołuje błąd obsługi pamięci, powodując awarię procesu. Udane wykorzystanie może mieć wysoki wpływ na dostępność aplikacji. Brak wpływu na poufność i integralność.
- CVE-2026-76963Średnie
Z powodu braku kontroli autoryzacji w Application Server ABAP platform SAP NetWeaver i ABAP Platform, uwierzytelniony atakujący może uzyskać nieautoryzowany dostęp do wrażliwych informacji o konfiguracji systemu. Skuteczne wykorzystanie może prowadzić do ujawnienia ustawień istotnych dla bezpieczeństwa oraz wewnętrznych szczegółów systemu, z niskim wpływem na poufność, bez wpływu na integralność i dostępność.
- CVE-2026-58246Średnie
SAP NetWeaver Application Server dla ABAP i ABAP Platform zapisuje poufne identyfikatory sesji w śladzie diagnostycznym, gdy ślad jest aktywowany przez uprzywilejowanego użytkownika. Atakujący z dostępem do śladu może uzyskać identyfikatory umożliwiające podszywanie się pod legalnych użytkowników.
Oryginalny opis (angielski, źródło NVD)
disp+work 7400.12.21.30308 in SAP NetWeaver 7.40 allows remote attackers to cause a denial of service (resource consumption) via a crafted DIAG request, aka SAP Security Note 2405918.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS