SAP NetWeaver AS Java の複数の脆弱性 (2024 年 2 月)

high Nessus プラグイン ID 190609

Language:

概要

リモートの SAP NetWeaver アプリケーションサーバーは、複数の脆弱性の影響を受けます。

説明

SAP NetWeaver Application Server for Java に、以下を含む複数の脆弱性が存在する可能性があります。

- SAP NetWeaver AS for Java の User Admin アプリケーションは、受信 URL パラメーターをリダイレクト URL に含める前に、十分に検証せず、不適切にエンコードします。これはクロスサイトスクリプティング (XSS) の脆弱性につながり、機密性に大きな影響を与え、整合性と可用性に軽度の影響を与える可能性があります。
(CVE-2024-22126)

- SAP NetWeaver AS Java (CAF - Guided Procedures) を使用すると、認証されていない攻撃者が、細工された XML ファイルを含む悪意のあるリクエストをネットワーク経由で送信することができ、これが解析されると、機密ファイルやデータにアクセスできるようになりますが、変更することはできません。可用性に影響を与えないように、拡張制限があります。(CVE-2024-24743)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。