PT-2021-14533 · Sap · Bw Database Interface

Alexander Meier + 1 · Publicado 2021-01-12 · Atualizado 2022-06-03 · CVE-2021-21465

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

SAP BW Database Interface (versões afetadas não especificadas)

Descrição

A vulnerabilidade permite que um invasor com privilégios limitados execute consultas de banco de dados maliciosas, expondo o banco de dados de back-end. Isso ocorre porque o banco de dados executa comandos SQL sem sanitizar adequadamente dados não confiáveis, levando a uma vulnerabilidade de injeção de SQL que pode comprometer totalmente o sistema SAP afetado.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-21465

Produtos afetados

Bw Database Interface

Referências · 7

• 🔥 http://seclists.org/fulldisclosure/2022/May/42 · Exploit
• 🔥 http://packetstormsecurity.com/files/167229/SAP-Application-Server-ABAP-ABAP-Platform-Code-Injection-SQL-Injection-Missing-Authorization.html · Exploit
• https://t.me/cvenotify/31083 · Publicação no Telegram
• https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=564760476 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21465 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-21465 · Aviso do Fabricante
• https://launchpad.support.sap.com/#/notes/2986980 · Nota