SAP NetWeaver AS Java 多个漏洞(2023 年 3 月)

high Nessus 插件 ID 172603

简介

远程 SAP NetWeaver 应用程序服务器受到多个漏洞影响。

描述

SAP NetWeaver Application Server for Java 受多个漏洞影响,其中包括:

- 在 SAP NetWeaver AS for Java 7.50 版中,由于缺少身份验证检查,未经身份验证的攻击者可依附于开放接口,并利用开放命名与目录 API 来访问服务,这些服务可被用于执行影响用户和各个系统上服务的未经授权的操作。若成功利用此漏洞,攻击者便可读取并修改某些敏感信息,但也可将其用于锁定系统的任何元素或操作,使其失去响应或不可用。(CVE-2023-23857)

- 7.50 版本的 SAP NetWeaver Application Server Java for Classload Service 不会对需要使用用户身份的功能执行任何认证检查,从而导致权限升级。此故障对数据机密性的影响很小,因此未获得权限分配的用户可以读取非敏感服务器数据。(CVE-2023-24526)

- 在 7.50 版本的 SAP NetWeaver Application Server Java for Classload Service 中,缓存管理服务不会对需要使用用户身份的功能执行任何认证检查。(CVE-2023-26460)

- 7.50 版本的 SAP NetWeaver AS Java(对象分析服务) 不会进行必要的授权检查,因此,未经身份验证的攻击者不仅能够连接开放接口,还能在不影响可用性的情况下利用开放命名和目录 API 访问支持攻击者访问但不会修改服务设置与数据的服务,从而导致权限升级。(CVE-2023-27268)

请注意,Nessus 尚未测试此问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

根据供应商公告应用相应的补丁。

另见

http://www.nessus.org/u?18f404d5

https://launchpad.support.sap.com/#/notes/3252433

https://launchpad.support.sap.com/#/notes/3288480

https://launchpad.support.sap.com/#/notes/3288096

https://launchpad.support.sap.com/#/notes/3288394

插件详情

严重性: High

ID: 172603

文件名: sap_netweaver_as_java_mar_2023.nasl

版本: 1.4

类型: remote

系列: Web Servers

发布时间: 2023/3/16

最近更新时间: 2023/8/30

配置: 启用偏执模式

支持的传感器: Nessus

风险信息

VPR

风险因素: Medium

分数: 4.7

CVSS v2

风险因素: High

基本分数: 9

时间分数: 6.7

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:C

CVSS 分数来源: CVE-2023-23857

CVSS v3

风险因素: High

基本分数: 8.6

时间分数: 7.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/a:sap:netweaver_application_server

必需的 KB 项: Settings/ParanoidReport, installed_sw/SAP Netweaver Application Server (AS)

易利用性: No known exploits are available

补丁发布日期: 2023/3/14

漏洞发布日期: 2023/3/14

参考资料信息

CVE: CVE-2023-23857, CVE-2023-24526, CVE-2023-26460, CVE-2023-27268

IAVA: 2023-A-0130