S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 09 avril 2024
N° CERTFR-2024-AVI-0283
Affaire suivie par: CERT-FR
le 09 avril 2024

Avis du CERT-FR

Objet: Multiples vulnérabilités dans les produits SAP

Gestion du document

Référence CERTFR-2024-AVI-0283
Titre Multiples vulnérabilités dans les produits SAP
Date de la première version 09 avril 2024
Date de la dernière version 12 avril 2024
Source(s) Bulletin de sécurité SAP du 09 avril 2024
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque(s)

  • Atteinte à la confidentialité des données
  • Déni de service à distance
  • Injection de code indirecte à distance (XSS)
  • Élévation de privilèges
  • Non spécifié par l'éditeur

Systèmes affectés

  • Asset Accounting versions SAP_APPL 600, SAP_APPL 600, SAP_APPL 600, SAP_APPL 600, SAP_APPL 600, SAP_APPL 600, SAP_FIN617, SAP_FIN 618 et SAP_FIN700 sans le dernier correctif de sécurité
  • Business Connector version 4.8 sans le dernier correctif de sécurité
  • BusinessObjects Web Intelligence versions 4.2 et 4.3 sans le dernier correctif de sécurité
  • Group Reporting Data Collection (Enter Package Data) versions S4CORE 104, S4CORE 105, S4CORE 106, S4CORE 107, S4CORE 108 et SAP_GRDC_CLOUD 1.0.0 sans le dernier correctif de sécurité
  • NetWeaver AS ABAP and ABAP Platform versions KRNL64NUC 7.22, KRNL64NUC 7.22EXT, KRNL64UC 7.22, KRNL64UC 7.22EXT, KRNL64UC 7.53, KERNEL 7.22, KERNEL 7.53, KERNEL 7.77, KERNEL 7.85, KERNEL 7.89, KERNEL 7.54 et KERNEL 7.93 sans le dernier correctif de sécurité
  • NetWeaver AS Java User Management Engine versions SERVERCORE 7.50, J2EE-APPS 7.50 et UMEADMIN 7.50 sans le dernier correctif de sécurité
  • NetWeaver version 7.50 sans le dernier correctif de sécurité
  • S/4 HANA (Cash Management) versions S4CORE 103, S4CORE 104, S4CORE 105, S4CORE 106, S4CORE 107 et S4CORE 108 sans le dernier correctif de sécurité
  • S/4 HANA (Manage Catalog Items and Cross-Catalog search) versions S4CORE 103, S4CORE 104, S4CORE 105 et S4CORE 106 sans le dernier correctif de sécurité
  • Edge Integration Cell versions antérieures à 8.13.5
  • Employee Self Service (Fiori My Leave Request) version 605 sans le dernier correctif de sécurité

Résumé

De multiples vulnérabilités ont été découvertes dans les produits SAP. Certaines d'entre elles permettent à un attaquant de provoquer un déni de service à distance, une atteinte à la confidentialité des données et une injection de code indirecte à distance (XSS).

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 09 avril 2024
    Version initiale
    le 12 avril 2024
    Ajout de la vulnérabilité CVE-2022-29613