SAP · NetWeaver

CVE-2016-9563

SAP NetWeaver XML External Entity (XXE) Vulnerability

공격에 악용됨 보통 6.5 공격 가능성: 24%

무엇인가

BC-BMT-BPM-DSK in SAP NetWeaver AS JAVA 7.5 allows remote authenticated users to conduct XML External Entity (XXE) attacks via the sap.com~tc~bpem~him~uwlconn~provider~web/bpemuwlconn URI, aka SAP Security Note 2296909.

CISA: SAP NetWeaver Application Server Java Platforms contains an unspecified vulnerability in BC-BMT-BPM-DSK which allows remote, authenticated users to conduct XML External Entity (XXE) attacks.

할 일

Apply updates per vendor instructions.

미국 연방 기관 조치 기한: 2022년 5월 3일

CISA 목록에 추가됨: 2021년 11월 3일
게시됨: 2016년 11월 23일
심각도: 보통 6.5 CVSS 3.1
향후 30일 내 공격 가능성(EPSS): 24% 알려진 모든 취약점 중 상위 2.2%
약점 유형: CWE-611
자세히: NVD · CVE.org · CISA

모든 참고 자료(3)

SAP의 다른 악용된 결함

추가됨	취약점	제품	심각도	공격 가능성
2025. 5. 15.	DeserializationCVE-2025-42999랜섬웨어에 사용됨	NetWeaver	치명적 9.1	13%
2025. 4. 29.	Unrestricted File UploadCVE-2025-31324랜섬웨어에 사용됨	NetWeaver	치명적 10.0	99.5%
2025. 3. 19.	Directory TraversalCVE-2017-12637	NetWeaver	높음 7.5	95%
2022. 6. 9.	SQL InjectionCVE-2016-2386	NetWeaver	치명적 9.8	72%
2022. 6. 9.	Information DisclosureCVE-2016-2388	NetWeaver	보통 5.3	52%
2022. 6. 9.	Unrestricted File UploadCVE-2021-38163	NetWeaver	치명적 9.9	37%
2021. 11. 3.	Remote Code ExecutionCVE-2010-5326	NetWeaver	치명적 10.0	18%
2021. 11. 3.	Directory TraversalCVE-2016-3976	NetWeaver	높음 7.5	47%

모두 →

출처: Known Exploited Vulnerabilities(CISA, 퍼블릭 도메인), CVE records(cve.org), EPSS(FIRST). 공격 가능성은 누군가 향후 30일 안에 이 결함을 악용하려 할 확률에 대한 EPSS 추정치입니다.