Vulnérabilité dans les produits SAP

Date de publication :

CVE-2022-39802[Score CVSS v3.1:9.9] (critique)
Une faille de type « traversée de répertoire » dans SAP Manufacturing Exécution permet à un attaquant de porter atteinte à la confidentialité des données.

CVE-2022-41204[Score CVSS v3.1:9.6] (critique)
Une erreur dans le formulaire de connexion de la plateforme SAP Business permet à un attaquant, en redirigeant une victime vers un site Web spécialement forgé, de contourner la politique de sécurité du système.

CVE-2022-39013[Score CVSS v3.1:8.2]
Une faille dans la plateforme SAP Business Objects Business Intelligence permet à un attaquant, grâce à l’envoi d’une requête spécialement forgée, de porter atteinte à la confidentialité ainsi qu’à l’intégrité des données et de provoquer un déni de service.

CVE-2022-31596[Score CVSS v3.1:8.2]
Une faille dans la plateforme SAP Business Objects Business Intelligence permet à un attaquant, grâce à l’envoi d’une requête spécialement forgée, de porter atteinte à la confidentialité des données.

CVE-2022-35299[Score CVSS v3.1:8.1]
Un débordement de mémoire tampon dans SAP SQL Anywhere et SAP IQ permet à un attaquant, en envoyant une requête spécialement forgée, d’exécuter du code arbitraire sur le système.

CVE-2022-39015[Score CVSS v3.1:7.7]
Une faille dans Admintools et Query Builder de SAP Business Objects Business Intelligence permet à un attaquant de porter atteinte à la confidentialité des données.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de code arbitraire
  • Contournement de la politique de sécurité
  • Atteinte à la confidentialité des données
  • Atteinte à l’intégrité des données
  • Déni de service

Criticité

  • Score CVSS v3.1: 9.9 max (critique)

La faille est activement exploitée

  • Non.

Un correctif existe

  • Oui.

Une mesure de contournement existe

  • Non.

La vulnérabilité exploitée est du type

CWE-22: Improper Limitation of a Pathname to a Restricted Directory

CWE-601: URL Redirection to Untrusted Site

CWE-200: Exposure of Sensitive Information to an Unauthorized Actor

En cours de recherche

CWE-121: Stack-based Buffer Overflow

CWE-668: Exposure of Resource to Wrong Sphere

Détails sur l’exploitation

Pour la CVE-2022-39802

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour la CVE-2022-41204

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Aucun.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Oui.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour les CVE-2022-39013, CVE-2022-39015 et CVE-2022-31596

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur à privilèges.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour la CVE-2022-35299

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Élevée.
  • Privilèges nécessaires pour réaliser l’attaque : Aucun.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

Pour la CVE-2022-39802

  • SAP Manufacturing Execution en versions 15.1, 15.2, et15.3.

Pour la CVE-2022-41204

  • SAP Commerce en versions 1905, 2005, 2105, 2011 et 2205.

Pour la CVE-2022-39013

  • SAP BusinessObjects Business Intelligence Platform en versions 420 et 430.

Pour la CVE-2022-31596

  • SAP Business Objects Platform (Monitoring DB), en version 430.

Pour la CVE-2022-35299

  • SAP SQL Anywhere, en version 17.0.
  • SAP IQ, en version 16.1.

Pour la CVE-2022-39015

  • SAP Business Objects et Business Intelligence Platform en versions 420 et 430.

Solutions ou recommandations

  • SAP a partagé des mises à jour collectives avec ses clients. Des informations supplémentaires sont disponibles ici.

Liens