Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans les produits SAP

Gestion du document

Référence	CERTFR-2022-AVI-819
Titre	Multiples vulnérabilités dans les produits SAP
Date de la première version	14 septembre 2022
Date de la dernière version	14 septembre 2022
Source(s)	Bulletin de sécurité SAP du 13 septembre 2022

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Exécution de code arbitraire à distance
Injection de code indirecte à distance (XSS)
Élévation de privilèges

Systèmes affectés

SAP Access Control version 12
SAP Business Client versions 6.5, 7.0, 7.70
SAP Business One version 10.0
SAP BusinessObjects Business Intelligence Platform (CMC) versions 430
SAP BusinessObjects Business Intelligence Platform (Version Management System) versions 420, 430
SAP BusinessObjects Business Intelligence Platform versions 420, 430
SAP Knowledge Warehouse versions 7.30, 7.31, 7.40, 7.50
SAP NetWeaver ABAP Server and ABAP Platform versions 700, 701, 702, 731, 740, 750-757, 789
SAP NetWeaver ABAP Server and ABAP Platform versions 740, 750-756, 787
SAP NetWeaver Enterprise Portal (KMC) version 7.50
SAP NetWeaverASABAP (SAPGUIfor HTML within the Fiori Launchpad) versions KERNEL 7.77, 7.81, 7.85, 7.89, 7.54
SAP NetWeaverASABAP versions KRNL64NUC 7.22, 7.22EXT, 7.49, KRNL64UC 7.22, 7.22EXT, 7.49, 7.53, KERNEL 7.22, 7.49, 7.53, 7.77, 7.81, 7.85, 7.89, 7.54
SAP SuccessFactors attachment API for Mobile Application(Android &iOS) versions antérieures à 8.0.5

Résumé

De multiples vulnérabilités ont été découvertes dans les produits SAP. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un contournement de la politique de sécurité et une atteinte à la confidentialité des données.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité SAP du 13 septembre 2022
https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=1&todaysdate=2022-09-14
Référence CVE CVE-2021-42063
https://www.cve.org/CVERecord?id=CVE-2021-42063
Référence CVE CVE-2022-28214
https://www.cve.org/CVERecord?id=CVE-2022-28214
Référence CVE CVE-2022-28215
https://www.cve.org/CVERecord?id=CVE-2022-28215
Référence CVE CVE-2022-35291
https://www.cve.org/CVERecord?id=CVE-2022-35291
Référence CVE CVE-2022-35292
https://www.cve.org/CVERecord?id=CVE-2022-35292
Référence CVE CVE-2022-35294
https://www.cve.org/CVERecord?id=CVE-2022-35294
Référence CVE CVE-2022-35295
https://www.cve.org/CVERecord?id=CVE-2022-35295
Référence CVE CVE-2022-35298
https://www.cve.org/CVERecord?id=CVE-2022-35298
Référence CVE CVE-2022-39014
https://www.cve.org/CVERecord?id=CVE-2022-39014
Référence CVE CVE-2022-39799
https://www.cve.org/CVERecord?id=CVE-2022-39799
Référence CVE CVE-2022-39801
https://www.cve.org/CVERecord?id=CVE-2022-39801

Gestion détaillée du document

Date	Description
14 septembre 2022	Version initiale