S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 13 septembre 2023
N° CERTFR-2023-AVI-0737
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités dans les produits SAP

Gestion du document

Référence CERTFR-2023-AVI-0737
Titre Multiples vulnérabilités dans les produits SAP
Date de la première version13 septembre 2023
Date de la dernière version13 septembre 2023
Source(s) Bulletin de sécurité SAP du 12 septembre 2023
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Atteinte à l'intégrité des données
  • Atteinte à la confidentialité des données
  • Contournement de la politique de sécurité
  • Déni de service à distance
  • Exécution de code arbitraire à distance
  • Injection de code indirecte à distance (XSS)
  • Non spécifié par l'éditeur

Systèmes affectés

  • Product-SAP BusinessObjects Suite (Installer) versions 420 et 430
  • S4 HANA ABAP (Manage checkbook apps) versions 102, 103, 104, 105, 106 et 107
  • S4CORE (Manage Purchase Contracts App) versions 102, 103, 104, 105, 106 et 107
  • SAP Business Client versions 6.5, 7.0 et 7.70
  • SAP Business Objects Business Intelligence Platform (CMC) versions 420 et 430
  • SAP BusinessObjects Business Intelligence Platform (Promotion Management) versions 420 et 430
  • SAP BusinessObjects Business Intelligence Platform (versions Management System) versions 430
  • SAP BusinessObjects Business Intelligence Platform (Web Intelligence HTML interface) versions 420
  • SAP NetWeaver (Guided Procedures) versions 7.50
  • SAP NetWeaver AS ABAP (applications based on Unified Rendering) versions SAP_UI 754, SAP_UI 755, SAP_UI 756, SAP_UI 757, SAP_UI 758, SAP_BASIS 702 et SAP_BASIS 731
  • SAP NetWeaver AS ABAP, SAP NetWeaver AS Java and ABAP Platform of S/4HANA on-premise versions KERNEL 7.22, KERNEL 7.53, KERNEL 7.54, KERNEL 7.77, KERNEL 7.85, KERNEL 7.89, KERNEL 7.91, KERNEL 7.92, KERNEL 7.93, KERNEL 7.22, KERNEL 8.04, KERNEL64UC 7.22, KERNEL64UC 7.22EXT, KERNEL64UC 7.53, KERNEL64UC 8.04, KERNEL64NUC 7.22 et KERNEL64NUC 7.22EXT
  • SAP NetWeaver Process Integration versions 7.50
  • SAP PowerDesignerClient versions 16.7
  • SAP Quotation Management Insurance (FS-QUO) versions 400, 510, 700 et 800
  • SAP S/4HANA (Create Single Payment application) versions 100, 101, 102, 103, 104, 105, 106, 107 et 108
  • SAP S/4HANA (Manage Catalog Items and Cross-Catalog search) versions S4CORE 103, S4CORE 104, S4CORE 105 et S4CORE 106
  • SAP Web Dispatcher versions 7.22EXT, 7.53, 7.54, 7.77, 7.85, 7.89
  • SAPContent Server versions 6.50, 7.53, 7.54
  • SAPExtended Application Services and Runtime (XSA) versions SAP_EXTENDED_APP_SERVICES 1, , XS_ADVANCED_RUNTIME 1.00
  • SAPHANA Database versions 2.0
  • SAPHost Agent versions 722
  • SAPSSOEXT versions 17
  • SAPUI5 versions SAP_UI 750, SAP_UI 753, SAP_UI 754, SAP_UI 755, SAP_UI 756 et UI_700 200

Résumé

De multiples vulnérabilités ont été découvertes dans les produits SAP. Certaines d'entre elles permettent à un attaquant de provoquer un problème de sécurité non spécifié par l'éditeur, une exécution de code arbitraire à distance et un déni de service à distance.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 13 septembre 2023
    Version initiale