CVE-2023-27270
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
SAP NetWeaver Application Server for ABAP i ABAP Platform w wersjach 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 791 mają wiele podatności w klasie przeznaczonej do celów testowych. Uwierzytelniony atakujący bez uprawnień administracyjnych może spreparować żądanie z określonymi parametrami, które zużyje zasoby serwera wystarczająco, aby go unieruchomić; nie ma możliwości przeglądania ani modyfikowania informacji.
Ocena ryzyka
Atakujący może doprowadzić do wyczerpania zasobów i niedostępności serwera ABAP, powodując zakłócenia w działalności. Ryzyko dotyczy organizacji korzystających z wymienionych wersji SAP NetWeaver Application Server for ABAP.
Rekomendacja
Zastosuj aktualizacje lub poprawki SAP dostarczone dla tej podatności. Ogranicz dostęp do klas testowych i monitoruj nietypowe zużycie zasobów.
Inne podatności w SAP NetWeaver Application Server for ABAP
Zobacz wszystkie- CVE-2025-42883Niskie
W Migration Workbench (DX Workbench) w SAP NetWeaver Application Server for ABAP nie jest uruchamiane skanowanie malware, gdy uprawniony administrator przesyła pliki na serwer aplikacji. Może to pozwolić na przesłanie złośliwego pliku do systemu, co ma niski wpływ na integralność aplikacji.
- CVE-2025-42882Średnie
Z powodu braku sprawdzenia autoryzacji w SAP NetWeaver Application Server for ABAP uwierzytelniony atakujący z podstawowymi uprawnieniami może wykonać określony moduł funkcyjny w ABAP, aby uzyskać ograniczone informacje techniczne z systemu. Ujawnienie szczegółów środowiska systemu może pomóc atakującemu w planowaniu kolejnych ataków.
- CVE-2025-42908Średnie
Z powodu podatności Cross-Site Request Forgery (CSRF) w SAP NetWeaver Application Server for ABAP uwierzytelniony atakujący może inicjować transakcje bezpośrednio przez menedżera sesji, omijając pierwszy ekran transakcji i powiązaną kontrolę autoryzacji. Ta podatność może pozwolić atakującemu na wykonywanie działań i transakcji, które normalnie wymagałyby określonych uprawnień, naruszając integralność i poufność systemu poprzez umożliwienie nieautoryzowanego dostępu do zastrzeżonych funkcji. Ta podatność nie wpływa na dostępność.
Oryginalny opis (angielski, źródło NVD)
SAP NetWeaver Application Server for ABAP and ABAP Platform - versions 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 791, has multiple vulnerabilities in a class for test purposes in which an attacker authenticated as a non-administrative user can craft a request with certain parameters, which will consume the server's resources sufficiently to make it unavailable. There is no ability to view or modify any information.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS