Podatności SAP Web Dispatcher

W SAP Web Dispatcher i Internet Communication Manager występuje niezabezpieczone przechowywanie poufnych informacji. Atakujący z uprawnieniami administracyjnymi może pozyskać poufne informacje z przechowywanych danych. Może to pozwolić na skorelowanie poświadczeń między użytkownikami i wdrożeniami, potencjalnie prowadząc do ujawnienia poświadczeń i nieautoryzowanego dostępu, powodując wysoki wpływ na poufność oraz niski na integralność i dostępność.

SAP Web Dispatcher nieprawidłowo waliduje niektóre dane wejściowe podczas przetwarzania, co może prowadzić do uszkodzenia pamięci. Atakujący uwierzytelniony jako użytkownik niebędący administratorem może wysłać spreparowane dane, powodując zakończenie procesu Web Dispatcher bez interakcji użytkownika.

SAP Web Dispatcher nieprawidłowo waliduje dane sieciowe przetwarzane przez komponent wewnętrzny. Nieuwierzytelniony atakujący może wysłać spreparowany ruch sieciowy, wywołując uszkodzenie pamięci, co może prowadzić do wykonania dowolnego kodu i pełnego przejęcia systemu.

SAP Web Dispatcher oraz SAP NetWeaver Application Server ABAP (Internet Communication Manager) nie wykonują wystarczającej walidacji żądań w niektórych funkcjach administracyjnych. Nieuwierzytelniony atakujący może nakłonić zalogowanego administratora do odwiedzenia złośliwego linku, co może wywołać niepożądane akcje w sesji administratora i doprowadzić do pełnego przejęcia systemu operacyjnego.

SAP Web Dispatcher, Internet Communication Manager i SAP Content Server umożliwiają uwierzytelnionemu atakującemu z niskimi uprawnieniami dostęp do określonych funkcji administracyjnych lub interfejsów i uzyskanie wrażliwych informacji o stanie systemu, co prowadzi do ujawnienia informacji. Ujawnione informacje mogą być wykorzystane do dalszych ataków. Podatność ma wysoki wpływ na poufność, bez wpływu na integralność i dostępność.