CVE-2024-22127

SAP NetWeaver AS Java – command injection przez upload pliku w Log Viewer

CVSS 9.1v3.1pub. 2024-03-12upd. 2025-02-07

Wtyczka Administrator Log Viewer w SAP NetWeaver AS Java 7.50 umożliwia uwierzytelnionemu atakującemu z wysokimi uprawnieniami przesyłanie niebezpiecznych plików, co prowadzi do podatności typu command injection. Skuteczne wykorzystanie luki pozwala na pełne przejęcie kontroli nad aplikacją.

▸ Pokaż oryginał (EN)

SAP NetWeaver Administrator AS Java (Administrator Log Viewer plug-in) - version 7.50, allows an attacker with high privileges to upload potentially dangerous files which leads to command injection vulnerability. This would enable the attacker to run commands which can cause high impact on confidentiality, integrity and availability of the application.

🤖 Analiza AI

Jak działa

Atakujący posiadający wysokie uprawnienia w systemie może przesłać specjalnie spreparowany plik za pośrednictwem wtyczki Administrator Log Viewer. Mechanizm przetwarzania przesłanego pliku nie waliduje wystarczająco jego zawartości, co umożliwia wstrzyknięcie poleceń systemowych (command injection, CWE-77). Po wstrzyknięciu polecenia są wykonywane w kontekście serwera aplikacji, co daje atakującemu możliwość uruchamiania dowolnych operacji po stronie serwera.

Skutki

Atakujący może wykonywać dowolne polecenia na serwerze, co skutkuje pełnym naruszeniem poufności, integralności i dostępności aplikacji SAP NetWeaver AS Java. Podatność może prowadzić do przejęcia danych, modyfikacji konfiguracji systemu oraz jego całkowitego unieruchomienia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami – SAP Security Note 3433192 opublikowana w ramach SAP Security Patch Day. Zalecane jest niezwłoczne zaaplikowanie poprawki oraz ograniczenie dostępu do konsoli administracyjnej SAP NetWeaver wyłącznie do zaufanych użytkowników i sieci.