AVIS CERTFR - 2020 - AVI - 495

AVIS CERT

CERT-FR

Publié le 11 août 2020 à 17h09

Objet : Multiples vulnérabilités dans les produits SAP

Référence : CERTFR-2020-AVI-495

Risque(s)

- Non spécifié par l'éditeur
- Exécution de code arbitraire à distance
- Contournement de la politique de sécurité
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Injection de code indirecte à distance (XSS)

Systèmes affectés

- SAP Adaptive Server Enterprise version 16.0
- SAP Banking Services (Generic Market Data) versions 400, 450 et 500
- SAP Business Objects Business Intelligence Platform (Central Management Console) versions 4.2 et 4.3
- SAP Commerce versions 6.7, 1808, 1811, 1905 et 2005
- SAP Data Intelligence version 3
- SAP ERP (HCM Travel Management) versions 600, 602, 603, 604, 605, 606, 607 et 608
- SAP NetWeaver (ABAP Server) et ABAP Platform versions 700, 701, 702, 710, 711, 730, 731, 740, 750, 751, 752, 753, 754 et 755
- SAP NetWeaver AS JAVA versions 7.10, 7.11, 7.20, 7.30, 7.31, 7.40 et 7.50
- SAP NetWeaver (Knowledge Management) versions 7.30, 7.31, 7.40 et 7.50
- SAP S/4 HANA (Fiori UI for General Ledger Accounting) versions 103 et 104
- SAPUI5 (SAP_UI) versions 750, 751, 752, 753, 754 et 755
- SAPUI5 (UI_700) version 200
- SAPUI5 (UISAPUI5_JAVA) version 7.50

Résumé

De multiples vulnérabilités ont été découvertes dans les produits SAP. Certaines d'entre elles permettent à un attaquant de provoquer un problème de sécurité non spécifié par l'éditeur, une exécution de code arbitraire à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Dernière version du document

https://www.cert.ssi.gouv.fr/avis/CERTFR-2020-AVI-495/