Risque(s)
- Exécution de code arbitraire à distance
- Contournement de la politique de sécurité
- Atteinte à la confidentialité des données
Systèmes affectés
- SAP CommonCryptoLib version 8
- SAP NetWeaver AS ABAP, SAP NetWeaver AS Java et ABAP Platform of S/4HANA on-premise versions KERNEL 7.22, KERNEL 7.53, KERNEL 7.54, KERNEL 7.77, KERNEL 7.85, KERNEL 7.89, KERNEL 7.91, KERNEL 7.92, KERNEL 7.93, KERNEL 7.22, KERNEL 8.04, KERNEL64UC 7.22, KERNEL64UC 7.22EXT, KERNEL64UC 7.53, KERNEL64UC 8.04, KERNEL64NUC 7.22, KERNEL64NUC 7.22EXT
- SAP Web Dispatcher versions 7.22EXT, 7.53, 7.54, 7.77, 7.85, 7.89
- SAPContent Server versions 6.50, 7.53, 7.54
- SAPHANA Database version 2.0
- SAPHost Agent version 722
- SAPExtended Application Services et Runtime (XSA) versions SAP_EXTENDED_APP_SERVICES 1, XS_ADVANCED_RUNTIME 1.00
- SAPSSOEXT version 17
- SAP Business One version 10.0
- SAP NetWeaver AS Java version 7.5
- Product-SAP SQL Anywhere versions 16.0, 17.0
- Product-SAP IQ version 16.0
- Product-SAP ASE versions 15.7, 16.0
- Product-SAP ASE Cluster Edition version 15.7
- Product-SAP Event Stream Processor version 5.1
- Product-SAP Replication Server version 15.7
- SAP NetWeaver Application Server ABAP et ABAP Platform versions KERNEL 722, KERNEL 7.53, KERNEL 7.77,KERNEL 7.85, KERNEL 7.89, KERNEL 7.54, KERNEL 7.91, KERNEL 7.92, KERNEL 7.93, KERNEL 7.94, KERNEL64UC 7.22, KERNEL64UC 7.22EXT, KERNEL64UC 7.53, KERNEL64NUC 7.22, KERNEL64NUC 7.22EXT
- NetWeaver AS Java version 7.50
Résumé
De multiples vulnérabilités ont été découvertes dans les produits SAP. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un contournement de la politique de sécurité et une atteinte à la confidentialité des données.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité SAP ucQrx6G du 14 novembre 2023
https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=1 - Référence CVE CVE-2023-40309
https://www.cve.org/CVERecord?id=CVE-2023-40309 - Référence CVE CVE-2023-31403
https://www.cve.org/CVERecord?id=CVE-2023-31403 - Référence CVE CVE-2023-42477
https://www.cve.org/CVERecord?id=CVE-2023-42477 - Référence CVE CVE-2023-41366
https://www.cve.org/CVERecord?id=CVE-2023-41366 - Référence CVE CVE-2023-42480
https://www.cve.org/CVERecord?id=CVE-2023-42480
