16. mars 2023

Alvarlegir veikleikar í SAP

Tilkynnt var um nokkra alvarlega veikleika í SAP Business Objects Business Intelligence Platform (CMC) og SAP NetWeaver hjá SAP. Einnig er hægt að finna upplýsingar um veikleika sem voru ekki merktir sem alvarlegir á vefsíðu SAP. CERT-IS mælir með að uppfært sé eins fljótt og auðið er í útgáfu þar sem veikleikinn hefur verið lagfærður.

Alvarlegir veikleikar (e.critical)

SAP Business Objects Business Intelligence Platform (CMC)

Veikleikinn CVE-2023-25616 er með CVSSv3 skor uppá 9.9 og gerir ógnaraðila kleift að nýta kóðainnspítingaveikleika sem leiðir til aðgangs að auðlindum umfram réttindi notandans.

SAP NetWeaver AS for Java

Veikleikinn CVE-2023-23857 er með CVSSv3 skor uppá 9.8 og gerir ógnaraðila kleift að hengja sig á opið viðmót SAP NetWeaver AS for Java og notfæra sér API til þess að lesa og breyta viðkvæmum upplýsingum notandans. Ógnaraðili getur einnig læst kerfum og gert þau óaðgengileg.

SAP NetWeaver Application Server for ABAP and ABAP Platform

Veikleikinn CVE-2023-27269 er með CVSSv3 skor uppá 9.6 og gerir ógnaraðila kleift að misnota flökkun á milli skrársafna (e. directory traversal) til þess að yfirskrifa kerfisskrár og gera þjónustuna óaðgengilega.

SAP NetWeaver AS for ABAP and ABAP Platform (SAPRSBRO Program)

Veikleikinn CVE-2023-27500 er með CVSSv3 skor uppá 9.6 og gerir ógnaraðila kleift að misnota flökkun á milli skrársafna (e. directory traversal) til þess að yfirskrifa kerfisskrár og gera þjónustuna óaðgengilega.

SAP Business Object (Adaptive Job Server)

Veikleikinn CVE-2023-25617 er með CVSSv3 skor uppá 9.0. Þegar program object execution er virkt er hægt sem auðkenndur notandi með tímaréttindi og er að nýta BI Launchpad eða sérhönnuð forrit byggð á Java SDK að keyra kóða í Unix.

Eftirfarandi kerfi eru veik fyrir gallanum:

SAP Business Objects Business Intelligence Platform (CMC): 420, 430
SAP NetWeaver AS for Java: 7.50
SAP NetWeaver Application Server for ABAP og ABAP Platform: 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 791
SAP NetWeaver AS for ABAP and ABAP Platform (SAPRSBRO Program): 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757
SAP Business Objects (Adaptive Job Server): 420, 430
SAP Solution Manager and ABAP managed systems(ST-PI): 2008_1_700, 2008_1_710and 740
SAP NetWeaver AS for ABAP and ABAP Platform: 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 791