Podatności SAP NetWeaver AS JAVA

7 znanych podatności CVE w SAP NetWeaver AS JAVA, przetłumaczonych i ocenionych.

CVE-2017-7717Wysokie
W podatności CVE-2017-7717 występuje luka typu SQL injection w metodzie getUserUddiElements komponentu ES UDDI w SAP NetWeaver AS Java 7.4. Umożliwia ona zdalnym, uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
CVE-2016-9562Wysokie
SAP NetWeaver AS JAVA 7.4 umożliwia zdalnym atakującym spowodowanie awarii usługi (Denial of Service) poprzez wysłanie żądania HTTPS do URI sap.com~P4TunnelingApp!web/myServlet, co prowadzi do wyjątku null pointer i przestoju icman.
CVE-2015-8840Wysokie
Usługa archiwizacji danych XML (XML DAS) w SAP NetWeaver AS Java nie sprawdza autoryzacji, co pozwala zdalnym uwierzytelnionym użytkownikom uzyskać dostęp do wrażliwych informacji oraz zdobyć uprawnienia.
CVE-2015-4091Wysokie
Podatność XXE w SAP NetWeaver AS Java 7.4 umożliwia zdalnym atakującym wysyłanie żądań TCP do serwerów intranetowych poprzez żądanie XML do tc~sld~wd~main/Main, co może prowadzić do nieokreślonych innych skutków.
CVE-2020-6287KrytyczneAktywnie exploitowane
SAP NetWeaver AS JAVA (LM Configuration Wizard) w wersjach 7.30, 7.31, 7.40, 7.50 nie wykonuje sprawdzenia uwierzytelnienia, co pozwala nieuwierzytelnionemu atakującemu na wykonywanie zadań konfiguracyjnych i krytycznych akcji, w tym tworzenie użytkownika administracyjnego. Prowadzi to do naruszenia poufności, integralności i dostępności systemu.
CVE-2016-9563ŚrednieAktywnie exploitowane
Komponent BC-BMT-BPM-DSK w SAP NetWeaver AS JAVA 7.5 pozwala zdalnym uwierzytelnionym użytkownikom przeprowadzać ataki XML External Entity (XXE) poprzez URI sap.com~tc~bpem~him~uwlconn~provider~web/bpemuwlconn (SAP Security Note 2296909).
CVE-2016-2388ŚrednieAktywnie exploitowane
Podatność w Universal Worklist Configuration w SAP NetWeaver AS JAVA 7.4 pozwala zdalnym atakującym uzyskać poufne informacje o użytkownikach poprzez spreparowane żądanie HTTP. Podatność znana jest jako SAP Security Note 2256846.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS