CVE-2026-120017
KrytyczneCVSS 10.0Streszczenie
SAP NetWeaver AS ABAP i ABAP Platform nie wykonują wystarczającej weryfikacji przychodzących asercji uwierzytelniania w niektórych konfiguracjach. Nieuwierzytelniony atakujący może przesłać spreparowane dane, aby obejść uwierzytelnianie i podszyć się pod dowolnych użytkowników, w tym konta uprzywilejowane.
Ocena ryzyka
Podatność umożliwia obejście uwierzytelniania i podszycie się pod dowolne konto, co może doprowadzić do pełnego przejęcia systemu oraz wpłynąć na połączone komponenty i systemy.
Rekomendacja
Zainstalować aktualizację SAP i zweryfikować konfigurację weryfikacji asercji uwierzytelniania, ograniczając zaufanie do zewnętrznych dostawców tożsamości.
Inne podatności w SAP NetWeaver AS ABAP
Zobacz wszystkie- CVE-2025-42902Średnie
Z powodu podatności na uszkodzenie pamięci w SAP NetWeaver AS ABAP i ABAP Platform, nieuwierzytelniony atakujący może wysłać uszkodzony bilet logowania SAP lub bilet asercji SAP do serwera aplikacji SAP. Prowadzi to do dereferencji NULL, co powoduje awarię procesu roboczego. W rezultacie ma to niski wpływ na dostępność, ale nie ma wpływu na poufność i integralność.
- CVE-2023-24521Średnie
SAP NetWeaver AS ABAP (BSP Framework) w wersjach 700–757 nie oczyszcza wystarczająco danych wejściowych, co pozwala nieuwierzytelnionemu użytkownikowi zmienić bieżącą sesję użytkownika poprzez wstrzyknięcie złośliwego kodu przez sieć i uzyskać dostęp do nieprzewidzianych danych. Może to mieć ograniczony wpływ na poufność i integralność aplikacji.
Oryginalny opis (angielski, źródło NVD)
SAP NetWeaver AS ABAP and ABAP Platform does not perform sufficient verification of incoming authentication assertions under certain configurations. An unauthenticated attacker could submit specially crafted data to bypass authentication and impersonate arbitrary users, including privileged accounts. Successful exploitation could cause a full system compromise, with the impact potentially extending to connected components and systems beyond the affected system. This results in a high impact on confidentiality, integrity, and availability of the application.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS