Vulnérabilités dans les produits SAP

Date de publication :

De multiples vulnérabilités ont été découvertes dans les produits SAP. Un attaquant distant peut exécuter des commandes arbitraires, exécuter du code Javascript sur le navigateur d’un utilisateur, utiliser des identifiants programmés en dur, ainsi que d’autres impacts non-spécifiés.

CVE-2020-6364 [Score CVSS v3 : 10.0] : Une vulnérabilité de type injection de commandes a été découverte dans SAP Solution Manager et SAP Focused Run. Un attaquant distant non-authentifié peut exécuter des commandes arbitraires sur le système via un vecteur non-spécifié. 

CVE-2020-6367 [Score CVSS v3 : 8.2] : Une vulnérabilité de type cross-site scripting (XSS) a été découverte dans SAP NetWeaver Composite Application Framework. Un attaquant distant non-authentifié peut exécuter du code Javascript arbitraire sur le navigateur d’un utilisateur, via un vecteur non-spécifié.

CVE-2020-6366 [Score CVSS v3 : 7.6] : Une vulnérabilité causée par une non-validation de contenus XML a été découverte dans SAP NetWeaver. Un attaquant distant disposant d’un haut niveau de privilèges peut provoquer un impact non-spécifié.

CVE-2020-6369 [Score CVSS v3 : 7.5] : Une vulnérabilité causée par des identifiants enregistrés en dur a été découverte dans SAP Solution Manager et SAP Focused Run. Un attaquant distant non-authentifié peut contourner les politiques d’authentification en place en utilisant ces identifiants.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de commandes arbitraires
  • Exécution de code Javascript arbitraire sur le navigateur d’un utilisateur (XSS)
  • Utilisation d’identifiants programmés en dur
  • Autres impacts non-spécifiés

Criticité

  • Score CVSS v3 : 10.0 maximum

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement à ce jour

Composants vulnérables

  • La liste exhaustive des logiciels vulnérables est disponible sur le bulletin source

CVE

  • CVE-2020-6364
  • CVE-2020-6366
  • CVE-2020-6367
  • CVE-2020-6369

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Appliquer les mises à jour proposées par SAP

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens