S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 11 août 2020
N° CERTFR-2020-AVI-495
Affaire suivie par: CERT-FR
le 11 août 2020

Avis du CERT-FR

Objet: Multiples vulnérabilités dans les produits SAP

Gestion du document

Référence CERTFR-2020-AVI-495
Titre Multiples vulnérabilités dans les produits SAP
Date de la première version 11 août 2020
Date de la dernière version 11 août 2020
Source(s) Bulletin de sécurité SAP du 11 août 2020
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque(s)

  • Non spécifié par l'éditeur
  • Exécution de code arbitraire à distance
  • Contournement de la politique de sécurité
  • Atteinte à l'intégrité des données
  • Atteinte à la confidentialité des données
  • Injection de code indirecte à distance (XSS)

Systèmes affectés

  • SAP Adaptive Server Enterprise version 16.0
  • SAP Banking Services (Generic Market Data) versions 400, 450 et 500
  • SAP Business Objects Business Intelligence Platform (Central Management Console) versions 4.2 et 4.3
  • SAP Commerce versions 6.7, 1808, 1811, 1905 et 2005
  • SAP Data Intelligence version 3
  • SAP ERP (HCM Travel Management) versions 600, 602, 603, 604, 605, 606, 607 et 608
  • SAP NetWeaver (ABAP Server) et ABAP Platform versions 700, 701, 702, 710, 711, 730, 731, 740, 750, 751, 752, 753, 754 et 755
  • SAP NetWeaver AS JAVA versions 7.10, 7.11, 7.20, 7.30, 7.31, 7.40 et 7.50
  • SAP NetWeaver (Knowledge Management) versions 7.30, 7.31, 7.40 et 7.50
  • SAP S/4 HANA (Fiori UI for General Ledger Accounting) versions 103 et 104
  • SAPUI5 (SAP_UI) versions 750, 751, 752, 753, 754 et 755
  • SAPUI5 (UI_700) version 200
  • SAPUI5 (UISAPUI5_JAVA) version 7.50

Résumé

De multiples vulnérabilités ont été découvertes dans les produits SAP. Certaines d'entre elles permettent à un attaquant de provoquer un problème de sécurité non spécifié par l'éditeur, une exécution de code arbitraire à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 11 août 2020
    Version initiale