SAP NetWeaver Java

XXE-Sicherheitslücke in SAP NetWeaver AS Java – Auswirkungen auf den Geschäftsbetrieb (Guided Procedures) Erfolgreiche Angriffe beeinträchtigen die Vertraulichkeit von SAP NetWeaver AS Java und ermöglichen zudem die Ausführung von SSRF oder das Abrufen von Dateien. Details zur Sicherheitslücke Das Servlet „caf~eu~gp~model~iforms~eap“ in SAP NetWeaver AS Java löst externe Entitäten während der Analyse der XML-Antwort des From-Prozessors auf. Angreifer…

Nicht authentifiziertes Blind-SSRF in SAPPingHTTPCollector Auswirkungen auf den Geschäftsbetrieb Ein anonymer Angreifer mit Zugriff auf den P4-Port der Java-Instanz eines Solution Managers könnte den Diagnostic Agent dazu zwingen, beliebige serverseitige Anfragen auszuführen. Infolgedessen könnte die interne Infrastruktur unter Ausnutzung der Netzwerkposition beeinträchtigt werden. Betroffene Komponenten Beschreibung Getestet auf folgenden Versionen:…

Nicht authentifizierte JNDI-Injektion im RemoteObjectFactory-Dienst von P4 Auswirkungen auf den Geschäftsbetrieb Ein nicht authentifizierter Angreifer mit Zugriff auf den P4-Port einer Java-basierten SAP-Lösung könnte eine JNDI-Injektion ausnutzen, um Anwendungen zu aktivieren. In der Folge könnten weitere Angriffe durchgeführt werden, indem Schwachstellen oder Funktionen in der…