SAP - CVE-2026-76964
Date de publication :
Il s’agit d’une vulnérabilité dans le composant Internet Communication Manager (ICM) de SAP NetWeaver Application Server ABAP.
SAP NetWeaver Application Server ABAP est un serveur d’applications de la plateforme SAP NetWeaver qui exécute les applications développées en langage ABAP. L’Internet Communication Manager (ICM) est son composant de gestion des communications HTTP et HTTPS.
Un composant interne du noyau SAP ne valide pas suffisamment certaines données réseau qu’il traite. Un attaquant non authentifié peut envoyer un trafic réseau spécialement conçu. Ce trafic déclenche une corruption de mémoire dans la fonctionnalité concernée. Aucune interaction utilisateur n’est requise. Le périmètre de l’impact dépasse le composant vulnérable.
Elle permet d’exécuter du code arbitraire à distance et de compromettre entièrement le système, avec un impact élevé sur la confidentialité, l’intégrité et la disponibilité.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-1287 : Improper Validation of Specified Type of Input
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
SAP KERNEL versions 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 et 9.20.
SAP KRNL64UC version 7.53.
Solutions ou recommandations
• SAP KERNEL 7.54, 7.77 et 7.93 : appliquer le correctif de la note de sécurité SAP 3778530.
• SAP KERNEL 9.16 : appliquer le correctif de la note de sécurité SAP 3778530.
• SAP KERNEL 9.18 et 9.20 : se référer à la note de sécurité SAP 3778530 (disponibilité du correctif non confirmée).