S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 13 septembre 2023
N° CERTFR-2023-AVI-0737
Affaire suivie par: CERT-FR
le 13 septembre 2023

Avis du CERT-FR

Objet: Multiples vulnérabilités dans les produits SAP

Gestion du document

Référence CERTFR-2023-AVI-0737
Titre Multiples vulnérabilités dans les produits SAP
Date de la première version 13 septembre 2023
Date de la dernière version 13 septembre 2023
Source(s) Bulletin de sécurité SAP du 12 septembre 2023
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque(s)

  • Non spécifié par l'éditeur
  • Exécution de code arbitraire à distance
  • Déni de service à distance
  • Contournement de la politique de sécurité
  • Atteinte à l'intégrité des données
  • Atteinte à la confidentialité des données
  • Injection de code indirecte à distance (XSS)

Systèmes affectés

  • SAP Business Client versions 6.5, 7.0 et 7.70
  • SAP BusinessObjects Business Intelligence Platform (Promotion Management) versions 420 et 430
  • SAP NetWeaver Process Integration versions 7.50
  • SAP Business Objects Business Intelligence Platform (CMC) versions 420 et 430
  • SAP BusinessObjects Business Intelligence Platform (Web Intelligence HTML interface) versions 420
  • SAP NetWeaver AS ABAP, SAP NetWeaver AS Java and ABAP Platform of S/4HANA on-premise versions KERNEL 7.22, KERNEL 7.53, KERNEL 7.54, KERNEL 7.77, KERNEL 7.85, KERNEL 7.89, KERNEL 7.91, KERNEL 7.92, KERNEL 7.93, KERNEL 7.22, KERNEL 8.04, KERNEL64UC 7.22, KERNEL64UC 7.22EXT, KERNEL64UC 7.53, KERNEL64UC 8.04, KERNEL64NUC 7.22 et KERNEL64NUC 7.22EXT
  • SAP Web Dispatcher versions 7.22EXT, 7.53, 7.54, 7.77, 7.85, 7.89
  • SAPContent Server versions 6.50, 7.53, 7.54
  • SAPHANA Database versions 2.0
  • SAPHost Agent versions 722
  • SAPExtended Application Services and Runtime (XSA) versions SAP_EXTENDED_APP_SERVICES 1, , XS_ADVANCED_RUNTIME 1.00
  • SAPSSOEXT versions 17
  • SAP PowerDesignerClient versions 16.7
  • Product-SAP BusinessObjects Suite (Installer) versions 420 et 430
  • SAP S/4HANA (Manage Catalog Items and Cross-Catalog search) versions S4CORE 103, S4CORE 104, S4CORE 105 et S4CORE 106
  • SAPUI5 versions SAP_UI 750, SAP_UI 753, SAP_UI 754, SAP_UI 755, SAP_UI 756 et UI_700 200
  • SAP Quotation Management Insurance (FS-QUO) versions 400, 510, 700 et 800
  • SAP NetWeaver AS ABAP (applications based on Unified Rendering) versions SAP_UI 754, SAP_UI 755, SAP_UI 756, SAP_UI 757, SAP_UI 758, SAP_BASIS 702 et SAP_BASIS 731
  • S4CORE (Manage Purchase Contracts App) versions 102, 103, 104, 105, 106 et 107
  • SAP BusinessObjects Business Intelligence Platform (versions Management System) versions 430
  • SAP NetWeaver (Guided Procedures) versions 7.50
  • SAP S/4HANA (Create Single Payment application) versions 100, 101, 102, 103, 104, 105, 106, 107 et 108
  • S4 HANA ABAP (Manage checkbook apps) versions 102, 103, 104, 105, 106 et 107

Résumé

De multiples vulnérabilités ont été découvertes dans les produits SAP. Certaines d'entre elles permettent à un attaquant de provoquer un problème de sécurité non spécifié par l'éditeur, une exécution de code arbitraire à distance et un déni de service à distance.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 13 septembre 2023
    Version initiale