SAP NetWeaver AS Java 多個弱點 (2023 年 4 月)

high Nessus Plugin ID 174400

語系：

概要

遠端 SAP NetWeaver 應用程式伺服器受到多個弱點影響。

說明

SAP NetWeaver Application Server for Java 受到多個弱點影響，包括以下弱點：

- 用於部署服務的 7.5 版 SAP NetWeaver AS Java 不對需要用戶身份的功能執行任何存取控制檢查，進而允許未經驗證的攻擊者附加至開放式介面，並利用開放式命名和目錄 API 存取服務，攻擊者可以存取但不能修改伺服器設定和資料，也不會影響系統可用性和完整性。(CVE-2023-24527)

未經身份驗證的網絡攻擊者可以通過 SAP NetWeaver Process Integration (PI) 7.50 版本的使用者定義搜索 (UDS) 附加到透過 JNDI 公開的開放接口，並利用開放式命名和目錄 API 來存取服務，這些服務可用於執行未經授權的操作，從而影響目前系統上的使用者和資料。這可讓攻擊者擁有使用者資料的完整讀取存取權並可對使用者資料進行有限的修改，此外這還能降低系統效能，進而對機密性造成重大影響以及對應用程式可用性和完整性造成一定影響。(CVE-2022-41272)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。