Podatności SAP Manufacturing Integration and Intelligence

SAP Manufacturing Integration and Intelligence (MII) nie przeprowadza niezbędnej kontroli autoryzacji w określonych funkcjach aplikacji, co pozwala uwierzytelnionemu atakującemu z niskimi uprawnieniami na dostęp do informacji zastrzeżonych dla uprzywilejowanych użytkowników. Udane wykorzystanie może pozwolić na dostęp do informacji o kontach użytkowników, co może ułatwić dalsze ataki. Podatność ma niski wpływ na poufność danych, bez wpływu na integralność i dostępność.

Z powodu podatności braku kontroli autoryzacji w SAP Manufacturing Integration and Intelligence, nieuwierzytelniony zdalny atakujący może uzyskać dostęp do funkcji aplikacji związanych z planowaniem bez odpowiedniej weryfikacji autoryzacji. Udane wykorzystanie może pozwolić atakującemu na pobieranie, tworzenie, modyfikowanie lub usuwanie danych planowania zarządzanych przez aplikację, co powoduje niski wpływ na poufność, integralność i dostępność.

Z powodu podatności braku kontroli autoryzacji w SAP Manufacturing Integration and Intelligence, nieuwierzytelniony atakujący może wysyłać spreparowane żądania do Cost Servlet z użyciem określonych wartości parametrów. Jeśli żądania zostaną przetworzone przez aplikację, umożliwią dostęp do operacji zaplecza. Udane wykorzystanie może pozwolić atakującemu na odczyt, tworzenie, modyfikowanie lub usuwanie danych biznesowych zarządzanych przez aplikację, co ma ograniczony wpływ na poufność, integralność i dostępność systemu.

SAP Manufacturing Integration and Intelligence pozwala uprzywilejowanemu atakującemu wykorzystać niewystarczającą walidację ścieżek plików w niektórych funkcjach przy użyciu specjalnie spreparowanych danych wejściowych. Eksploatacja wymaga również, aby uprawniony użytkownik później uzyskał dostęp do treści wpływających na atakującego i zależy od warunków poza kontrolą atakującego. Udane wykorzystanie może pozwolić na zapis plików poza zamierzonym katalogiem i wpłynąć na inne komponenty, co ma wysoki wpływ na poufność, integralność i dostępność.