CVE-2020-6242

SAP BusinessObjects BI Platform — logowanie bez hasła do CMC (Missing Authentication)

CVSS 9.8v3.1pub. 2020-05-12upd. 2024-11-21

Podatność w komponencie Live Data Connect platformy SAP BusinessObjects Business Intelligence Platform umożliwia atakującemu zalogowanie się do Central Management Console (CMC) bez podania hasła. Jest to podatność klasy Missing Authentication Check (CWE-306) o ocenie CVSS 9.8, co klasyfikuje ją jako krytyczną.

▸ Pokaż oryginał (EN)

SAP Business Objects Business Intelligence Platform (Live Data Connect), versions 1.0, 2.0, 2.1, 2.2, 2.3, allows an attacker to logon on the Central Management Console without password in case of the BIPRWS application server was not protected with some specific certificate, leading to Missing Authentication Check.

🤖 Analiza AI

Jak działa

Podatność występuje, gdy serwer aplikacyjny BIPRWS nie jest zabezpieczony odpowiednim certyfikatem. W takim przypadku mechanizm uwierzytelniania nie jest egzekwowany i atakujący może uzyskać dostęp do Central Management Console bez konieczności podawania jakichkolwiek poświadczeń. Atak może być przeprowadzony zdalnie, bez uwierzytelnienia i bez interakcji ze strony użytkownika.

Skutki

Atakujący uzyskuje nieautoryzowany dostęp do Central Management Console, co może prowadzić do pełnego przejęcia kontroli nad platformą BI, w tym do ujawnienia poufnych danych, modyfikacji konfiguracji i raportów oraz zakłócenia dostępności usług.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (SAP Security Note 2885244). Dodatkowo wymagane jest skonfigurowanie serwera aplikacyjnego BIPRWS z odpowiednim certyfikatem, który wymusza prawidłowe uwierzytelnianie użytkowników.