CVE-2026-58249
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
SAP NetWeaver i SAP Web Dispatcher nieprawidłowo walidują pewne pola w specjalnie spreparowanych żądaniach obsługiwanych przez wewnętrzny komponent protokołu. Nieuwierzytelniony atakujący może wysłać złośliwe żądanie, które wywołuje błąd obsługi pamięci, powodując awarię procesu. Udane wykorzystanie może mieć wysoki wpływ na dostępność aplikacji. Brak wpływu na poufność i integralność.
Ocena ryzyka
Atakujący może spowodować awarię usług SAP, co prowadzi do niedostępności aplikacji i potencjalnych przestojów w działalności organizacji.
Rekomendacja
Zastosuj poprawki od SAP dla SAP NetWeaver i SAP Web Dispatcher. Monitoruj systemy pod kątem nietypowych żądań i awarii procesów.
Inne podatności w SAP NetWeaver
Zobacz wszystkie- CVE-2017-9845Wysokie
Wersja 7400.12.21.30308 oprogramowania disp+work w SAP NetWeaver 7.40 pozwala zdalnym atakującym na spowodowanie odmowy usługi (zużycie zasobów) poprzez spreparowane żądanie DIAG.
- CVE-2016-3635Wysokie
SAP Netweaver 7.4 pozwala zdalnym uwierzytelnionym użytkownikom na ominięcie zamierzonej listy kontroli dostępu Unified Connectivity (UCON) i wykonanie dowolnych Zdalnych Modułów Funkcyjnych (RFM) poprzez wykorzystanie połączenia utworzonego podczas wcześniejszego wykonania anonimowego RFM zawartego w Zestawie Komunikacyjnym.
- CVE-2015-5067Wysokie
W narzędziach Cross-System Tools oraz Data Transfer Workbench w SAP NetWeaver znajdują się twardo zakodowane dane uwierzytelniające, co umożliwia zdalnym atakującym uzyskanie dostępu poprzez nieokreślone wektory.
- CVE-2014-4003Wysokie
Katalog Systemów (SLD) w SAP NetWeaver umożliwia zdalnym atakującym modyfikację informacji poprzez wektory związane z dodawaniem systemu.
- CVE-2015-7241Krytyczne
W podatności XXE w SAP Netweaver przed wersją 7.01, złośliwy użytkownik może wykorzystać zewnętrzne encje XML do uzyskania dostępu do danych systemowych.
- CVE-2016-10311Krytyczne
W SAP NetWeaver w wersjach od 7.0 do 7.5 występuje przepełnienie bufora na stosie, które może być wykorzystane przez zdalnych atakujących do wywołania odmowy usługi poprzez wysłanie spreparowanego pakietu do portu SAPSTARTSRV.
- CVE-2026-76963Średnie
Z powodu braku kontroli autoryzacji w Application Server ABAP platform SAP NetWeaver i ABAP Platform, uwierzytelniony atakujący może uzyskać nieautoryzowany dostęp do wrażliwych informacji o konfiguracji systemu. Skuteczne wykorzystanie może prowadzić do ujawnienia ustawień istotnych dla bezpieczeństwa oraz wewnętrznych szczegółów systemu, z niskim wpływem na poufność, bez wpływu na integralność i dostępność.
- CVE-2026-58246Średnie
SAP NetWeaver Application Server dla ABAP i ABAP Platform zapisuje poufne identyfikatory sesji w śladzie diagnostycznym, gdy ślad jest aktywowany przez uprzywilejowanego użytkownika. Atakujący z dostępem do śladu może uzyskać identyfikatory umożliwiające podszywanie się pod legalnych użytkowników.
Oryginalny opis (angielski, źródło NVD)
SAP NetWeaver and SAP Web Dispatcher do not properly validate certain fields in specially crafted requests handled by an internal protocol component. An unauthenticated attacker could send a malicious request that triggers a memory-handling error, causing the affected process to crash. Successful exploitation can therefore result in a high impact on the availability of the affected application. There is no impact on the confidentiality or integrity of the application.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS