CVE-2020-26831

SAP BusinessObjects BI Platform — SSRF i ujawnienie plików przez XML Injection

CVSS 9.6v3.1pub. 2020-12-09upd. 2024-11-21

SAP BusinessObjects BI Platform (Crystal Reports) w wersjach 4.1, 4.2 i 4.3 nie waliduje prawidłowo encji XML podczas generowania raportów Crystal, co pozwala zalogowanemu atakującemu na wstrzyknięcie złośliwych encji XML. Podatność jest krytyczna, ponieważ umożliwia ujawnienie plików serwera, SSRF oraz atak denial-of-service przy minimalnych uprawnieniach.

▸ Pokaż oryginał (EN)

SAP BusinessObjects BI Platform (Crystal Report), versions - 4.1, 4.2, 4.3, does not sufficiently validate uploaded XML entities during crystal report generation due to missing XML validation, An attacker with basic privileges can inject some arbitrary XML entities leading to internal file disclosure, internal directories disclosure, Server-Side Request Forgery (SSRF) and denial-of-service (DoS).

🤖 Analiza AI

Jak działa

Aplikacja nie przeprowadza wystarczającej walidacji przesyłanych plików XML podczas procesu generowania raportów Crystal. Atakujący posiadający podstawowe uprawnienia w systemie może wstrzyknąć arbitralne encje XML (technika znana jako XXE — XML External Entity injection). Przygotowany payload może wymuszać na serwerze odczyt lokalnych plików i katalogów oraz inicjowanie połączeń sieciowych do wewnętrznych lub zewnętrznych zasobów (SSRF), a także powodować przeciążenie usługi (DoS).

Skutki

Atakujący może ujawnić zawartość wewnętrznych plików i struktury katalogów serwera, wykonywać zapytania SSRF do zasobów niedostępnych bezpośrednio z zewnątrz sieci oraz doprowadzić do niedostępności usługi (DoS). Poufność danych przechowywanych na serwerze jest poważnie zagrożona.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (SAP Security Note 2989075 dostępna w SAP Launchpad Support Portal). Zaleca się pilną aktualizację do wersji z poprawką oraz ograniczenie dostępu do funkcji generowania raportów Crystal wyłącznie do zaufanych i uwierzytelnionych użytkowników.