CVE-2021-33695

SAP Cloud Connector: niewystarczająca walidacja certyfikatu TLS

CVSS 9.1v3.1pub. 2021-09-15upd. 2024-11-21

SAP Cloud Connector w wersji 2.0 akceptuje połączenia z backendem bez odpowiedniej weryfikacji certyfikatu TLS. Podatność umożliwia atakującemu przeprowadzenie ataku typu man-in-the-middle, co stanowi poważne zagrożenie dla poufności i integralności przesyłanych danych.

▸ Pokaż oryginał (EN)

Potentially, SAP Cloud Connector, version - 2.0 communication with the backend is accepted without sufficient validation of the certificate.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej walidacji certyfikatu (CWE-297, CWE-295) podczas nawiązywania komunikacji pomiędzy SAP Cloud Connector a systemem backendowym. Aplikacja nie weryfikuje w wystarczającym stopniu tożsamości serwera backendowego na podstawie prezentowanego certyfikatu. Atakujący, który jest w stanie przechwycić ruch sieciowy, może podstawić własny, niezaufany certyfikat i podszyć się pod legalny backend, uzyskując dostęp do przesyłanych danych lub je modyfikując.

Skutki

Atakujący może przechwycić lub zmodyfikować dane przesyłane między SAP Cloud Connector a systemem backendowym, prowadząc do naruszenia poufności i integralności komunikacji. Atak nie wymaga uwierzytelnienia ani interakcji użytkownika, co znacznie zwiększa jego potencjalny zasięg.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (SAP Security Note 3058553). Zaleca się weryfikację konfiguracji walidacji certyfikatów w środowisku SAP Cloud Connector oraz aktualizację do wersji wskazanej przez SAP jako bezpieczna.