CVE-2020-26823

SAP Solution Manager – brak autoryzacji w usłudze Diagnostics Agent (Auth Bypass)

CVSS 10.0v3.1pub. 2020-11-10upd. 2024-11-21

Podatność w SAP Solution Manager (stos JAVA) w wersji 7.20 umożliwia nieuwierzytelnionemu atakującemu przejęcie kontroli nad systemem bez podawania jakichkolwiek danych uwierzytelniających. Brak weryfikacji autoryzacji w usłudze Upgrade Diagnostics Agent Connection Service skutkuje krytycznym zagrożeniem dla integralności i dostępności systemu.

▸ Pokaż oryginał (EN)

SAP Solution Manager (JAVA stack), version - 7.20, allows an unauthenticated attacker to compromise the system because of missing authorization checks in the Upgrade Diagnostics Agent Connection Service, this has an impact to the integrity and availability of the service.

🤖 Analiza AI

Jak działa

Podatność wynika z braku kontroli autoryzacji (CWE-306) w komponencie Upgrade Diagnostics Agent Connection Service w SAP Solution Manager na stosie JAVA. Atakujący zdalnie, bez uwierzytelnienia i bez jakiejkolwiek interakcji użytkownika, może wysyłać żądania do podatnej usługi i wykonywać nieautoryzowane operacje. Brak mechanizmu weryfikacji tożsamości sprawia, że system nie odróżnia uprawnionych żądań od złośliwych.

Skutki

Nieuwierzytelniony atakujący może naruszyć integralność systemu oraz spowodować jego niedostępność (denial of service), co w skrajnym przypadku może prowadzić do kompromitacji całego środowiska SAP Solution Manager.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — SAP Security Note 2985866 dostępna w SAP Launchpad Support Portal. Zalecane jest również ograniczenie dostępu sieciowego do usługi Upgrade Diagnostics Agent Connection Service za pomocą firewall do zaufanych hostów do czasu wdrożenia poprawki.

Kogo dotyczy

SAP Solution Manager (stos JAVA), wersja 7.20

Uwagi

Podatność uzyskała maksymalny wynik CVSS 10.0, co wskazuje na pełną exploitowalność zdalną bez uwierzytelnienia i bez interakcji użytkownika, z oddziaływaniem na inne komponenty (Scope: Changed). Poprawka została opublikowana przez SAP w ramach Security Patch Day 10 listopada 2020 r.