CVE-2025-42882
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Z powodu braku sprawdzenia autoryzacji w SAP NetWeaver Application Server for ABAP uwierzytelniony atakujący z podstawowymi uprawnieniami może wykonać określony moduł funkcyjny w ABAP, aby uzyskać ograniczone informacje techniczne z systemu. Ujawnienie szczegółów środowiska systemu może pomóc atakującemu w planowaniu kolejnych ataków.
Ocena ryzyka
Ujawnienie informacji technicznych o środowisku może ułatwić atakującemu przygotowanie dalszych ataków, choć wpływ na poufność jest niski, a na integralność i dostępność brak.
Rekomendacja
Zastosuj poprawkę SAP dla CVE-2025-42882 i ogranicz podstawowe uprawnienia użytkowników do niezbędnego minimum.
Inne podatności w SAP NetWeaver Application Server for ABAP
Zobacz wszystkie- CVE-2025-42883Niskie
W Migration Workbench (DX Workbench) w SAP NetWeaver Application Server for ABAP nie jest uruchamiane skanowanie malware, gdy uprawniony administrator przesyła pliki na serwer aplikacji. Może to pozwolić na przesłanie złośliwego pliku do systemu, co ma niski wpływ na integralność aplikacji.
- CVE-2025-42908Średnie
Z powodu podatności Cross-Site Request Forgery (CSRF) w SAP NetWeaver Application Server for ABAP uwierzytelniony atakujący może inicjować transakcje bezpośrednio przez menedżera sesji, omijając pierwszy ekran transakcji i powiązaną kontrolę autoryzacji. Ta podatność może pozwolić atakującemu na wykonywanie działań i transakcji, które normalnie wymagałyby określonych uprawnień, naruszając integralność i poufność systemu poprzez umożliwienie nieautoryzowanego dostępu do zastrzeżonych funkcji. Ta podatność nie wpływa na dostępność.
Oryginalny opis (angielski, źródło NVD)
Due to a missing authorization check in SAP NetWeaver Application Server for ABAP, an authenticated attacker with basic privileges could execute a specific function module in ABAP to retrieve restricted technical information from the system. This disclosure of environment details of the system could further assist this attacker to plan subsequent attacks. As a result, this vulnerability has a low impact on confidentiality, with no impact on the integrity or availability of the application.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS