SAP · NetWeaver
CVE-2016-9563
SAP NetWeaver XML External Entity (XXE) Vulnerability
Τι είναι
BC-BMT-BPM-DSK in SAP NetWeaver AS JAVA 7.5 allows remote authenticated users to conduct XML External Entity (XXE) attacks via the sap.com~tc~bpem~him~uwlconn~provider~web/bpemuwlconn URI, aka SAP Security Note 2296909.
CISA: SAP NetWeaver Application Server Java Platforms contains an unspecified vulnerability in BC-BMT-BPM-DSK which allows remote, authenticated users to conduct XML External Entity (XXE) attacks.
Τι να κάνετε
Apply updates per vendor instructions.
Προθεσμία για τις ομοσπονδιακές υπηρεσίες των ΗΠΑ: 3 Μαΐου 2022
Περισσότερα κενά ασφαλείας της SAP που αξιοποιούνται
| Προστέθηκε | Ευπάθεια | Προϊόν | Σοβαρότητα | Πιθανότητα επίθεσης |
|---|---|---|---|---|
| 15 Μαΐ 2025 | Deserialization | NetWeaver | Κρίσιμη 9,1 | 13% |
| 29 Απρ 2025 | Unrestricted File Upload | NetWeaver | Κρίσιμη 10,0 | 99,5% |
| 19 Μαρ 2025 | Directory Traversal | NetWeaver | Υψηλή 7,5 | 95% |
| 9 Ιουν 2022 | SQL Injection | NetWeaver | Κρίσιμη 9,8 | 72% |
| 9 Ιουν 2022 | Information Disclosure | NetWeaver | Μέτρια 5,3 | 52% |
| 9 Ιουν 2022 | Unrestricted File Upload | NetWeaver | Κρίσιμη 9,9 | 37% |
| 3 Νοε 2021 | Remote Code Execution | NetWeaver | Κρίσιμη 10,0 | 18% |
| 3 Νοε 2021 | Directory Traversal | NetWeaver | Υψηλή 7,5 | 47% |
Πηγές: Known Exploited Vulnerabilities (CISA, δημόσιος τομέας), CVE records (cve.org) και EPSS (FIRST). Η πιθανότητα επίθεσης είναι η εκτίμηση EPSS ότι κάποιος θα προσπαθήσει να εκμεταλλευτεί το κενό τις επόμενες 30 ημέρες.