Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans les produits SAP

Gestion du document

Référence	CERTFR-2020-AVI-495
Titre	Multiples vulnérabilités dans les produits SAP
Date de la première version	11 août 2020
Date de la dernière version	11 août 2020
Source(s)	Bulletin de sécurité SAP du 11 août 2020

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Exécution de code arbitraire à distance
Injection de code indirecte à distance (XSS)
Non spécifié par l'éditeur

Systèmes affectés

SAP Adaptive Server Enterprise version 16.0
SAP Banking Services (Generic Market Data) versions 400, 450 et 500
SAP Business Objects Business Intelligence Platform (Central Management Console) versions 4.2 et 4.3
SAP Commerce versions 6.7, 1808, 1811, 1905 et 2005
SAP Data Intelligence version 3
SAP ERP (HCM Travel Management) versions 600, 602, 603, 604, 605, 606, 607 et 608
SAP NetWeaver (ABAP Server) et ABAP Platform versions 700, 701, 702, 710, 711, 730, 731, 740, 750, 751, 752, 753, 754 et 755
SAP NetWeaver (Knowledge Management) versions 7.30, 7.31, 7.40 et 7.50
SAP NetWeaver AS JAVA versions 7.10, 7.11, 7.20, 7.30, 7.31, 7.40 et 7.50
SAP S/4 HANA (Fiori UI for General Ledger Accounting) versions 103 et 104
SAPUI5 (SAP_UI) versions 750, 751, 752, 753, 754 et 755
SAPUI5 (UI_700) version 200
SAPUI5 (UISAPUI5_JAVA) version 7.50

Résumé

De multiples vulnérabilités ont été découvertes dans les produits SAP. Certaines d'entre elles permettent à un attaquant de provoquer un problème de sécurité non spécifié par l'éditeur, une exécution de code arbitraire à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité SAP du 11 août 2020
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=552603345
Référence CVE CVE-2019-11358
https://www.cve.org/CVERecord?id=CVE-2019-11358
Référence CVE CVE-2020-11022
https://www.cve.org/CVERecord?id=CVE-2020-11022
Référence CVE CVE-2020-11023
https://www.cve.org/CVERecord?id=CVE-2020-11023
Référence CVE CVE-2020-6273
https://www.cve.org/CVERecord?id=CVE-2020-6273
Référence CVE CVE-2020-6284
https://www.cve.org/CVERecord?id=CVE-2020-6284
Référence CVE CVE-2020-6286
https://www.cve.org/CVERecord?id=CVE-2020-6286
Référence CVE CVE-2020-6287
https://www.cve.org/CVERecord?id=CVE-2020-6287
Référence CVE CVE-2020-6293
https://www.cve.org/CVERecord?id=CVE-2020-6293
Référence CVE CVE-2020-6294
https://www.cve.org/CVERecord?id=CVE-2020-6294
Référence CVE CVE-2020-6295
https://www.cve.org/CVERecord?id=CVE-2020-6295
Référence CVE CVE-2020-6296
https://www.cve.org/CVERecord?id=CVE-2020-6296
Référence CVE CVE-2020-6297
https://www.cve.org/CVERecord?id=CVE-2020-6297
Référence CVE CVE-2020-6298
https://www.cve.org/CVERecord?id=CVE-2020-6298
Référence CVE CVE-2020-6299
https://www.cve.org/CVERecord?id=CVE-2020-6299
Référence CVE CVE-2020-6300
https://www.cve.org/CVERecord?id=CVE-2020-6300
Référence CVE CVE-2020-6301
https://www.cve.org/CVERecord?id=CVE-2020-6301
Référence CVE CVE-2020-6309
https://www.cve.org/CVERecord?id=CVE-2020-6309
Référence CVE CVE-2020-6310
https://www.cve.org/CVERecord?id=CVE-2020-6310
Référence CVE CVE-2020-9281
https://www.cve.org/CVERecord?id=CVE-2020-9281

Gestion détaillée du document

Date	Description
11 août 2020	Version initiale