Risques
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
- Exécution de code arbitraire à distance
Systèmes affectés
- NetWeaver AS Java version 7.50
- Product-SAP ASE Cluster Edition version 15.7
- Product-SAP ASE versions 15.7, 16.0
- Product-SAP Event Stream Processor version 5.1
- Product-SAP IQ version 16.0
- Product-SAP Replication Server version 15.7
- Product-SAP SQL Anywhere versions 16.0, 17.0
- SAP Business One version 10.0
- SAP CommonCryptoLib version 8
- SAP NetWeaver Application Server ABAP et ABAP Platform versions KERNEL 722, KERNEL 7.53, KERNEL 7.77,KERNEL 7.85, KERNEL 7.89, KERNEL 7.54, KERNEL 7.91, KERNEL 7.92, KERNEL 7.93, KERNEL 7.94, KERNEL64UC 7.22, KERNEL64UC 7.22EXT, KERNEL64UC 7.53, KERNEL64NUC 7.22, KERNEL64NUC 7.22EXT
- SAP NetWeaver AS ABAP, SAP NetWeaver AS Java et ABAP Platform of S/4HANA on-premise versions KERNEL 7.22, KERNEL 7.53, KERNEL 7.54, KERNEL 7.77, KERNEL 7.85, KERNEL 7.89, KERNEL 7.91, KERNEL 7.92, KERNEL 7.93, KERNEL 7.22, KERNEL 8.04, KERNEL64UC 7.22, KERNEL64UC 7.22EXT, KERNEL64UC 7.53, KERNEL64UC 8.04, KERNEL64NUC 7.22, KERNEL64NUC 7.22EXT
- SAP NetWeaver AS Java version 7.5
- SAP Web Dispatcher versions 7.22EXT, 7.53, 7.54, 7.77, 7.85, 7.89
- SAPContent Server versions 6.50, 7.53, 7.54
- SAPExtended Application Services et Runtime (XSA) versions SAP_EXTENDED_APP_SERVICES 1, XS_ADVANCED_RUNTIME 1.00
- SAPHANA Database version 2.0
- SAPHost Agent version 722
- SAPSSOEXT version 17
Résumé
De multiples vulnérabilités ont été découvertes dans les produits SAP. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un contournement de la politique de sécurité et une atteinte à la confidentialité des données.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité SAP ucQrx6G du 14 novembre 2023 https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=1
- Référence CVE CVE-2023-31403 https://www.cve.org/CVERecord?id=CVE-2023-31403
- Référence CVE CVE-2023-40309 https://www.cve.org/CVERecord?id=CVE-2023-40309
- Référence CVE CVE-2023-41366 https://www.cve.org/CVERecord?id=CVE-2023-41366
- Référence CVE CVE-2023-42477 https://www.cve.org/CVERecord?id=CVE-2023-42477
- Référence CVE CVE-2023-42480 https://www.cve.org/CVERecord?id=CVE-2023-42480
