Vulnérabilités dans plusieurs produits SAP

Date de publication :

CVE-2021-27602 [Score CVSS v3 : 9.9]

Une vulnérabilité a été corrigée au sein des règles sources du logiciel SAP Commerce. Son exploitation peut permettre à un attaquant distant et authentifié d’exécuter du code arbitraire.

 

CVE-2021-27610 [Score CVSS v3 : 9.8]

Une vulnérabilité a été corrigée au sein du logiciel SAP NetWeaver ABAP Server et ABAP Platform. Cette faille est due à un défaut dans le mécanisme d’authentification du logiciel. Son exploitation peut permettre à un attaquant distant et non authentifié d’élever ses privilèges sur les dispositifs vulnérables.

 

CVE-2021-27635 [Score CVSS v3 : 6.5]

Une vulnérabilité a été corrigée au sein du logiciel SAP NetWeaver AS JAVA. Elle est due à un manque de vérification des objets XML passés en entrée. Son exploitation peut permettre à un attaquant distant et authentifié d’exécuter du code arbitraire.

 

CVE-2021-27606, CVE-2021-27629, CVE-2021-27630, CVE-2021-27631, CVE-2021-27632 [Score CVSS v3 : 7.5]

Plusieurs vulnérabilités de corruption de mémoire ont été corrigées  au sein de la passerelle RFC du logiciel SAP NetWeaver ABAP Server et ABAP Platform. Son exploitation peut permettre à un attaquant distant et non authentifié de provoquer un déni de service.

 

CVE-2021-27597, CVE-2021-27633 [Score CVSS v3 : 7.5]

Plusieurs vulnérabilités de corruption de mémoire ont été corrigées au sein du serveur de file d’attente du logiciel SAP NetWeaver ABAP Server et ABAP Platform. Son exploitation peut permettre à un attaquant distant et non authentifié de provoquer un déni de service.

 

CVE-2021-27634 [Score CVSS v3 : 5.9]

Plusieurs vulnérabilités de corruption de mémoire ont été corrigées au sein du serveur de file d’attente du logiciel SAP NetWeaver ABAP Server et ABAP Platform. Son exploitation peut permettre à un attaquant distant et non authentifié de provoquer un déni de service.

 

CVE-2021-27607, CVE-2021-27628 [Score CVSS v3 : 7.5]

Plusieurs vulnérabilités de corruption de mémoire ont été corrigées au sein du répartiteur de charge (Dispatcher) du logiciel SAP NetWeaver ABAP Server et ABAP Platform. Son exploitation peut permettre à un attaquant distant et non authentifié de provoquer un déni de service.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire

Criticité

    Score CVSS v3 : 9.9 max

Existence d’un code d’exploitation

    Aucun code d’exploitation n’est disponible publiquement à l’heure actuelle.

Composants vulnérables

    SAP Commerce versions 1808, 1811, 1905, 2005 et 2011.
    SAP NetWeaver AS ABAP and ABAP Platform versions 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755 et 804.
    SAP NetWeaver AS for JAVA version 7.20, 7.30, 7.31, 7.40 et 7.50.
    SAP NetWeaver AS for ABAP (RFC Gateway, Enqueue Server & Dispatcher) :

      KRNL32NUC versions 7.22 et 7.22EXT.
      KRNL64NUC versions 7.22, 7.22EXT et 7.49.
      KRNL64UC versions 8.04,7.22,7.22EXT,7.49,7.53,7.73.
      KERNEL versions 7.22, 8.04, 7.49, 7.53, 7.73, 7.77, 7.81, 7.82, 7.83.

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour les logiciels impactés conformément aux instructions de l’éditeur SAP.

Solution de contournement

  • Aucune solution de contournement n’est disponible publiquement à l’heure actuelle.

Liens