CVE-2023-33992
ŚrednieCVSS 4.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Warstwa komunikacyjna BICS w SAP BW oraz SAP BW/4HANA może ujawniać nieautoryzowane wartości komórek w odpowiedzi na zapytania. Wymagana jest jednak odpowiednia autoryzacja na poziomie zapytania oraz na poziomie kluczowych wskaźników.
Ocena ryzyka
Organizacja może być narażona na ujawnienie wrażliwych danych, co może prowadzić do naruszenia prywatności i bezpieczeństwa informacji. Potencjalni atakujący mogą wykorzystać tę lukę, jeśli posiadają odpowiednie uprawnienia.
Rekomendacja
Zaleca się przegląd i wzmocnienie kontroli dostępu do zapytań oraz kluczowych wskaźników w systemie SAP BW. Należy również monitorować logi dostępu w celu wykrycia nieautoryzowanych prób.
Oryginalny opis (angielski, źródło NVD)
The SAP BW BICS communication layer in SAP Business Warehouse and SAP BW/4HANA - version SAP_BW 730, SAP_BW 731, SAP_BW 740, SAP_BW 730, SAP_BW 750, DW4CORE 100, DW4CORE 200, DW4CORE 300, may expose unauthorized cell values to the data response. To be able to exploit this, the user still needs authorizations on the query as well as on the keyfigure/measure level. The missing check only affects the data level.