CVE-2023-36922
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
W wyniku błędu programistycznego w module funkcjonalnym i raporcie, komponent IS-OIL w SAP ECC i SAP S/4HANA pozwala uwierzytelnionemu atakującemu na wstrzyknięcie dowolnego polecenia systemowego do niechronionego parametru w domyślnej rozszerzeniu. Po pomyślnym wykorzystaniu podatności, atakujący może odczytać lub zmodyfikować dane systemowe oraz wyłączyć system.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, umożliwiając atakującemu dostęp do wrażliwych danych oraz możliwość ich modyfikacji, co może prowadzić do zakłócenia działania systemu.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie systemu do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających, takich jak monitorowanie i ograniczenie dostępu do krytycznych parametrów.
Oryginalny opis (angielski, źródło NVD)
Due to programming error in function module and report, IS-OIL component in SAP ECC and SAP S/4HANA allows an authenticated attacker to inject an arbitrary operating system command into an unprotected parameter in a common (default) extension. On successful exploitation, the attacker can read or modify the system data as well as shut down the system.