PT-2022-19727 · Sap · Sap Netweaver Application Server Abap+6

M. Li · Publicado 2022-06-14 · Atualizado 2022-10-27 · CVE-2022-29614

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.0

Média

Vetor base

AV:P/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:H

Nome do software vulnerável e versões afetadas

SAP NetWeaver Application Server ABAP, Application Server Java, ABAP Platform e versões do banco de dados HANA KERNEL 7.22, 7.49, 7.53, 7.77, 7.81, 7.85, 7.86, 7.87, 7.88, KRNL64NUC 7.22, 7.22EXT, 7.49, KRNL64UC 7.22, 7.22EXT, 7.49, 7.53, SAPHOSTAGENT 7.22

Descrição

A vulnerabilidade diz respeito ao serviço SAP startservice, especificamente ao programa auxiliar s-bit sapuxuserchk em sistemas Unix, que pode ser explorado fisicamente, resultando em uma escalada de privilégios para um invasor. Isso leva a um baixo impacto na confidencialidade e integridade, mas a um impacto significativo na disponibilidade.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2022-29614

Produtos afetados

Abap Platform

Hana Database

Kernel

Krnl64Uc

Sap Netweaver Application Server Abap

Sap Netweaver Application Server Java

Sap Host Agent

Referências · 8

• 🔥 http://seclists.org/fulldisclosure/2022/Sep/18 · Exploit
• 🔥 http://packetstormsecurity.com/files/168409/SAP-SAPControl-Web-Service-Interface-Local-Privilege-Escalation.html · Exploit
• https://sap.com/documents/2022/02/fa865ea4-167e-0010-bca6-c68f7e60039b.html · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-29614 · Nota de Segurança
• https://launchpad.support.sap.com/#/notes/3158619 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-29614 · Aviso do Fabricante
• https://t.me/cvenotify/36310 · Publicação no Telegram
• https://t.me/cibsecurity/44446 · Publicação no Telegram