CVE-2023-27500

SAP NetWeaver AS ABAP: path traversal w SAPRSBRO umożliwia nadpisanie plików systemowych

CVSS 9.6v3.1pub. 2023-03-14upd. 2024-11-21

Podatność typu path traversal w programie SAPRSBRO systemu SAP NetWeaver Application Server ABAP pozwala uwierzytelnionemu użytkownikowi bez uprawnień administracyjnych na nadpisanie krytycznych plików systemu operacyjnego. Może to doprowadzić do całkowitej niedostępności systemu.

▸ Pokaż oryginał (EN)

An attacker with non-administrative authorizations can exploit a directory traversal flaw in program SAPRSBRO to over-write system files. In this attack, no data can be read but potentially critical OS files can be over-written making the system unavailable.

🤖 Analiza AI

Jak działa

Atakujący z podstawowymi uprawnieniami (nieadministracyjnymi) może wykorzystać błąd path traversal w programie SAPRSBRO, konstruując specjalnie spreparowane ścieżki zawierające sekwencje katalogów nadrzędnych (np. '../'). Pozwala to na wyjście poza dozwolony obszar systemu plików i nadpisanie dowolnych plików systemowych OS. W ataku tym dane nie mogą być odczytane, jednak możliwe jest trwałe uszkodzenie krytycznych plików systemowych.

Skutki

Atakujący może nadpisać krytyczne pliki systemu operacyjnego, co może skutkować całkowitą niedostępnością (DoS) serwera SAP i systemu operacyjnego. Atak może mieć wpływ nie tylko na sam system SAP, lecz potencjalnie na inne zasoby w środowisku (zakres S:C w wektorze CVSS).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — SAP Security Note 3302162 dostępna w SAP Support Launchpad. Zaleca się pilne wdrożenie poprawki ze względu na krytyczny poziom zagrożenia.