Multiples vulnérabilités corrigées dans plusieurs produits SAP

De multiples vulnérabilités ont été découvertes dans plusieurs produits SAP. Certaines d'entre elles permettent à un attaquant de provoquer un déni de service à distance, un contournement de la politique de sécurité et une atteinte à la confidentialité des données.

CVE-2019-0379 [Score CVSSv3 : 9.3] : Cette vulnérabilité est due à l’absence de vérification d'authentification dans l'adaptateur AS2 (Applicability Statement 2, une spécification décrivant une méthode de transport de données électroniques sécurisée et fiable au travers d'Internet, basée sur le protocole HTTP et le standard S/MIME) de l'add-on B2B pour l'intégration des processus SAP NetWeaver. Un attaquant pourrait exploiter cette vulnérabilité afin de contourner la politique de sécurité.

CVE-2019-0379 [Score CVSSv3 : 9.1] : SAP Landscape Management Enterprise est vulnérable à de la divulgation d’information. L'éditeur n'a pas donné plus de détail sur cette vulnérabilité.

CVE-2019-0381 [Score CVSSv3 : 7.8] : Les applications SAP SQL Anywhere, avant la version 17.0, SAP IQ, avant la version 16.1, et SAP Dynamic Tier, avant les versions 1.0 et 2.0 ne contrôlent pas suffisamment les fichiers gérés. Elles sont vulnérables à une implantation binaire (Binary planting). Cette attaque consiste à placer (ou implanter) un fichier binaire contenant du code malveillant dans un système de fichiers local ou distant afin qu'une application vulnérable le charge et l'exécute. L’exploitation de cette vulnérabilité pourrait permettre à un attaquant d’accéder à des fichiers situés dans des répertoires extérieurs aux chemins autorisés.