Risque
- Injection de code indirecte à distance ;
- injection de requêtes illégitime par rebond.
Systèmes affectés
La branche 7.x de SAP NetWeaver
Résumé
De multiples vulnérabilités ont été corrigées dans SAP NetWeaver. L'une d'entre elles permet à un attaquant de provoquer une injection de code indirecte à distance (XSS) au moyen d'un page Web spécialement conçue. Elle concerne le composant Mobile RFID.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité ERPScan du 14 novembre 2012 :
http://erpscan.com/advisories/dsecrg-12-041-sap-netweaver-mobile-xss/
http://erpscan.com/advisories/dsecrg-12-042-sap-netweaver-soap-rfc-csrf/
