SAP · NetWeaver
CVE-2020-6287
SAP NetWeaver Missing Authentication for Critical Function Vulnerability
Cos'è
SAP NetWeaver AS JAVA (LM Configuration Wizard), versions - 7.30, 7.31, 7.40, 7.50, does not perform an authentication check which allows an attacker without prior authentication to execute configuration tasks to perform critical actions against the SAP Java system, including the ability to create an administrative user, and therefore compromising Confidentiality, Integrity and Availability of the system, leading to Missing Authentication Check.
CISA: SAP NetWeaver Application Server Java Platforms contains a missing authentication for critical function vulnerability allowing unauthenticated access to execute configuration tasks and create administrative users.
Cosa fare
Apply updates per vendor instructions.
Scadenza per le agenzie federali USA: 3 maggio 2022
- Aggiunta all'elenco CISA
- 3 novembre 2021
- Pubblicato
- 14 luglio 2020
- Gravità
- Critica 10,0 CVSS 3.0
- Probabilità di attacchi nei prossimi 30 giorni (EPSS)
- 95% tra il 0,1% più alto di tutte le vulnerabilità note
- Tipo di debolezza
- CWE-306
- Più dettagli
- NVD · CVE.org · CISA
Tutte le fonti (5)
- https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=552599675
- https://launchpad.support.sap.com/#/notes/2934135
- https://www.onapsis.com/recon-sap-cyber-security-vulnerability
- http://seclists.org/fulldisclosure/2021/Apr/6
- http://packetstormsecurity.com/files/162085/SAP-JAVA-Configuration-Task-Execution.html
Altre falle sfruttate di SAP
| Aggiunto | Vulnerabilità | Prodotto | Gravità | Probabilità di attacco |
|---|---|---|---|---|
| 15 mag 2025 | Deserialization | NetWeaver | Critica 9,1 | 13% |
| 29 apr 2025 | Unrestricted File Upload | NetWeaver | Critica 10,0 | 99,5% |
| 19 mar 2025 | Directory Traversal | NetWeaver | Alta 7,5 | 95% |
| 9 giu 2022 | SQL Injection | NetWeaver | Critica 9,8 | 72% |
| 9 giu 2022 | Information Disclosure | NetWeaver | Media 5,3 | 52% |
| 9 giu 2022 | Unrestricted File Upload | NetWeaver | Critica 9,9 | 37% |
| 3 nov 2021 | Remote Code Execution | NetWeaver | Critica 10,0 | 18% |
| 3 nov 2021 | Directory Traversal | NetWeaver | Alta 7,5 | 47% |
Fonti: Known Exploited Vulnerabilities (CISA, pubblico dominio), CVE records (cve.org) e EPSS (FIRST). La probabilità di attacco è la stima EPSS che qualcuno provi a sfruttare la falla nei prossimi 30 giorni.