CVE-2023-0014

SAP NetWeaver ABAP – podatność capture-replay umożliwiająca nieautoryzowany dostęp

CVSS 9.0v3.1pub. 2023-01-10upd. 2024-11-21

SAP NetWeaver ABAP Server oraz ABAP Platform generują informacje o tożsamości systemu w niejednoznacznym formacie, co prowadzi do podatności typu capture-replay. Atakujący może wykorzystać przechwycone dane uwierzytelniające do uzyskania nieautoryzowanego dostępu do systemu.

▸ Pokaż oryginał (EN)

SAP NetWeaver ABAP Server and ABAP Platform - versions SAP_BASIS 700, 701, 702, 710, 711, 730, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, KERNEL 7.22, 7.53, 7.77, 7.81, 7.85, 7.89, KRNL64UC 7.22, 7.22EXT, 7.53, KRNL64NUC 7.22, 7.22EXT, creates information about system identity in an ambiguous format. This could lead to capture-replay vulnerability and may be exploited by malicious users to obtain illegitimate access to the system.

🤖 Analiza AI

Jak działa

Podatność wynika z błędu w sposobie tworzenia i prezentowania informacji o tożsamości systemu (CWE-294 – Authentication Bypass by Capture-replay). System generuje te dane w formacie podatnym na niejednoznaczną interpretację, co umożliwia atakującemu przechwycenie prawidłowych komunikatów uwierzytelniających, a następnie ich ponowne odtworzenie (replay) w celu podszycia się pod uprawnionego użytkownika lub system. Atak wymaga pewnego nakładu pracy (wysoka złożoność – AC:H), jednak nie wymaga żadnych uprawnień ani interakcji ofiary.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu uzyskać nielegalny dostęp do systemu SAP, co może prowadzić do pełnego naruszenia poufności, integralności i dostępności danych przetwarzanych przez platformę.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami – SAP Security Note 3089413 dostępna w SAP Support Launchpad (https://launchpad.support.sap.com/#/notes/3089413). Aktualizacja powinna zostać wdrożona zgodnie z wytycznymi SAP Security Patch Day.

Kogo dotyczy

SAP NetWeaver ABAP Server i ABAP Platform w wersjach: SAP_BASIS 700, 701, 702, 710, 711, 730, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757; KERNEL 7.22, 7.53, 7.77, 7.81, 7.85, 7.89; KRNL64UC 7.22, 7.22EXT, 7.53; KRNL64NUC 7.22, 7.22EXT

CVSS Vector

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

Sap Netweaver Application Server Abap
APP
Sap
700701702710711730731740750751752753754755756+ 1 więcej
Sap Netweaver Application Server Abap Kernel
APP
Sap
7.227.537.777.817.857.89
Sap Netweaver Application Server Abap Krnl64nuc
APP
Sap
7.227.22ext
Sap Netweaver Application Server Abap Krnl64uc
APP
Sap
7.227.22ext7.53