PT-2020-5955 · Sap · Sap Netweaver As Java
Pablo Artuso
·
Publicado
2020-07-14
·
Atualizado
2025-10-31
·
CVE-2020-6287
CVSS v3.1
10
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
**Nome do software vulnerável e versões afetadas:
SAP NetWeaver AS JAVA (LM Configuration Wizard), versões 7.30 a 7.50
Descrição:
A vulnerabilidade está relacionada à falta de autenticação para funções críticas no SAP NetWeaver Java Application Server. Esse problema permite que um invasor execute tarefas de configuração sem autenticação prévia, comprometendo potencialmente a confidencialidade, a integridade e a disponibilidade do sistema. O invasor pode criar um usuário administrativo, levando à ausência de verificação de autenticação. A vulnerabilidade já foi explorada em incidentes reais, com relatos de varreduras em massa em busca de servidores vulneráveis. Instituições financeiras, hospitais e entidades governamentais estão entre os setores afetados.
Recomendações:
Para as versões 7.30 a 7.50 do SAP NetWeaver AS JAVA (LM Configuration Wizard), aplique os patches disponibilizados pela SAP para corrigir a falta de verificação de autenticação. Como solução temporária, considere restringir o acesso ao LM Configuration Wizard para minimizar o risco de exploração. Evite usar o componente vulnerável até que um patch seja aplicado.
Exploit
Correção
Improper Authentication
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Sap Netweaver As Java