SAP NetWeaver AS の非同期化(ICMAD)

critical Nessus プラグイン ID 157848

概要

リモート SAP NetWeaver アプリケーションサーバーは非同期化の脆弱性の影響を受けます。

説明

SAP NetWeaver Application Server ABAP、SAP NetWeaver Application Server Java、ABAP Platform、SAP Content Server 7.53および SAP Web Dispatcher は、リクエストスマグリングおよびリクエスト連結に対して脆弱です。

認証されていない攻撃者が、被害者のリクエストに任意のデータを付加する可能性があります。このようにして、攻撃者は被害者になりすます機能を実行したり、中間 Web キャッシュを汚染したりする可能性があります。攻撃が成功するとシステムの機密性、整合性、可用性が完全に侵害される可能性があります。

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

ベンダーのアドバイザリにしたがって適切なパッチを適用してください。

関連情報

http://www.nessus.org/u?f0c19cc7

https://launchpad.support.sap.com/#/notes/3123396

プラグインの詳細

深刻度: Critical

ID: 157848

ファイル名: sap_netweaver_as_3123396.nasl

バージョン: 1.4

タイプ: remote

ファミリー: Web Servers

公開日: 2022/2/9

更新日: 2022/2/15

構成: パラノイドモードの有効化

リスク情報

VPR

リスクファクター: Critical

スコア: 9.2

CVSS v2

リスクファクター: Critical

Base Score: 10

Temporal Score: 7.4

ベクトル: AV:N/AC:L/Au:N/C:C/I:C/A:C

現状ベクトル: E:U/RL:OF/RC:C

CVSS スコアのソース: CVE-2022-22536

CVSS v3

リスクファクター: Critical

Base Score: 10

Temporal Score: 8.7

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

現状ベクトル: E:U/RL:O/RC:C

脆弱性情報

CPE: cpe:/a:sap:netweaver_application_server

必要な KB アイテム: installed_sw/SAP Netweaver Application Server (AS), Settings/ParanoidReport

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2022/2/8

脆弱性公開日: 2022/2/8

参照情報

CVE: CVE-2022-22536

IAVA: 2022-A-0063