SAP NetWeaver AS Java 多个漏洞（2025 年 2 月）

medium Nessus 插件 ID 216270

语言：

简介

远程 SAP NetWeaver 应用程序服务器受到多个漏洞影响。

描述

SAP NetWeaver Application Server for Java 受多个漏洞影响，其中包括：

- Java 版 SAP NetWeaver AS 的 User Admin 应用程序并未经过充分验证，而且未正确编码传入的 URL 参数，便将其包含到重定向 URL 中。这会导致跨站脚本 (XSS) 漏洞，进而对机密性造成重大影响，并对完整性和可用性造成轻微影响。
此漏洞已报告并于 2024 年提供了初始修补程序，但该修补程序被视为过时，已由 2025 年 2 月发布的修补程序完全修复。
(CVE-2024-22126)

- 部署服务版 SAP NetWeaver AS Java（对象分析服务）不对需要用户身份的功能执行任何访问控制检查，因此未经身份验证的攻击者不仅能够连接开放接口，还能利用开放命名和目录 API 访问支持攻击者访问但不会修改服务设置与数据的服务。(CVE-2023-24527)

- SAP NetWeaver AS Java (Application Server Java) 允许攻击者访问可能泄露已部署服务器组件相关信息的端点，包括其 XML 定义。理想情况下，即使客户管理员可能不需要此信息，也应仅限他们查看此信息。这些 XML 文件不完全是 SAP 内部文件，因为它们随服务器部署。在此类情况下，可暴露敏感信息 (CVE-2025-24869)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。