PT-2022-4933 · Sap · Sap Businessobjects Business Intelligence Platform

Publicado 2022-06-02 · Atualizado 2022-07-20 · CVE-2022-32246

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.9

Média

Vetor base

AV:N/AC:M/Au:S/C:P/I:P/A:N

Nome do software vulnerável e versões afetadas

SAP Business Objects Business Intelligence Platform (aplicativo Visual Difference) versões 420, 430

Descrição

A vulnerabilidade permite que um invasor autenticado com acesso ao console de administração de BI envie consultas maliciosas e extraia dados do backend SQL, causando um impacto potencialmente limitado na confidencialidade e integridade do aplicativo. Isso se deve à falta de medidas para neutralizar elementos especiais usados em consultas SQL. Um invasor pode explorar essa vulnerabilidade enviando uma consulta SQL especialmente criada para divulgar informações protegidas.

Recomendações

Para as versões 420 e 430, considere restringir o acesso ao console de administração de BI e limitar a capacidade de enviar consultas maliciosas ao backend SQL até que uma correção esteja disponível. Como solução alternativa temporária, desativar o componente Visual Difference Application pode ajudar a minimizar o risco de exploração.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

BDU:2022-06114

CVE-2022-32246

Produtos afetados

Sap Businessobjects Business Intelligence Platform

Referências · 7

• https://t.me/cvenotify/33474 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2022-06114 · Nota de Segurança
• https://sap.com/documents/2022/02/fa865ea4-167e-0010-bca6-c68f7e60039b.html · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-32246 · Nota de Segurança
• https://launchpad.support.sap.com/#/notes/3203079 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-32246 · Aviso do Fabricante
• https://vuldb.com/ru/?id.203768 · Nota