CVE-2020-6294

SAP BusinessObjects BI Platform – brak uwierzytelnienia w komponencie Xvfb (Unix)

CVSS 9.1v3.1pub. 2020-08-12upd. 2024-11-21

Komponent Xvfb w SAP BusinessObjects Business Intelligence Platform w wersjach 4.2 i 4.3 na platformie Unix nie wykonuje żadnych kontroli uwierzytelnienia dla funkcji wymagających tożsamości użytkownika. Podatność umożliwia nieuwierzytelnionemu atakującemu zdalny dostęp do chronionych funkcjonalności systemu.

▸ Pokaż oryginał (EN)

Xvfb of SAP Business Objects Business Intelligence Platform, versions - 4.2, 4.3, platform on Unix does not perform any authentication checks for functionalities that require user identity.

🤖 Analiza AI

Jak działa

Xvfb (wirtualny serwer X) wbudowany w platformę SAP BusinessObjects BI na systemach Unix całkowicie pomija mechanizmy uwierzytelniania dla funkcji, które powinny być dostępne wyłącznie dla zidentyfikowanych użytkowników (CWE-306: brak uwierzytelnienia dla krytycznej funkcji). Atakujący bez żadnych poświadczeń może bezpośrednio wywołać te funkcje poprzez sieć, z niską złożonością ataku i bez interakcji ze strony użytkownika. Wektor sieciowy i brak wymagań wstępnych czynią tę podatność szczególnie łatwą do wykorzystania.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych oraz modyfikować zasoby platformy BI bez posiadania jakichkolwiek uprawnień. Wysokie ryzyko naruszenia poufności i integralności danych przetwarzanych przez platformę SAP BusinessObjects.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami – SAP Security Note 2927956. Zaleca się pilne zapoznanie się z informacjami opublikowanymi w SAP Security Patch Day pod adresem wskazanym w referencjach oraz niezwłoczne wdrożenie poprawek.