SAP NetWeaver AS Java 多個弱點 (2023 年 3 月)

high Nessus Plugin ID 172603

語系：

概要

遠端 SAP NetWeaver 應用程式伺服器受到多個弱點影響。

描述

SAP NetWeaver Application Server for Java 受到多個弱點影響，包括以下弱點：

- 由於缺少驗證檢查，SAP NetWeaver AS for Java 7.50 版中未經驗證的攻擊者可附加至開放式介面並利用開放式命名和目錄 API 來存取服務，這些服務可用於執行未經授權的操作，從而影響目前系統上的使用者和資料。若得以惡意利用，攻擊者即可讀取和修改部分敏感資訊，此外該弱點亦可用來鎖定係統的任何元素或作業，使其無法回應或不可用。(CVE-2023-23857)

- SAP NetWeaver Application Server Java for Classload Service - 7.50 版未針對需要使用者身分的功能執行任何驗證檢查，進而導致權限提升弱點。此弱點對資料機密性的影響很小，因此未指派的使用者可以讀取非敏感的伺服器資料。(CVE-2023-24526)

- SAP NetWeaver Application Server for Java 7.50 版中的快取管理服務未針對需要使用者身分的功能執行任何驗證檢查。(CVE-2023-26460)

- SAP NetWeaver AS Java (物件分析服務) - 7.50 版未執行必要的授權檢查，進而允許未經驗證的攻擊者附加至開放式介面，並利用開放式命名和目錄 API 存取服務，攻擊者可以存取但不能修改伺服器設定和資料，也不會影響系統可用性，這可以引致權限提升。(CVE-2023-27268)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。