Összefoglaló
Az SAP NetWeaver két sérülékenységét jelentették, amit kihasználva a támadók feltörhetik a sérülékeny rendszert.
Leírás
- A Message Server (msg_server.exe) “_MsJ2EE_AddStatistics()” függvényének egy indexelési hibáját kihasználva memória hivatkozási hibát lehet előidézni egy speciálisan összeállított kérés segítségével.
- Az msg_server.exe “WRITE_C()” függvényének egy hibáját kihasználva – amely az 0x15 opcode-dal érkező csomagok kezelése sorén keletkezik – memória hivatkozási hibát lehet előidézni.
A sérülékenységek sikeres kihasználása tetszőleges kód végrehajtását teszik lehetővé.
A sérülékenységeket az alábbi verziókban jelentették:
- SAP NetWeaver 7.01 SR1 (msg_server.exe v7010.29.15.58313 verzió)
- SAP NetWeaver 7.02 SP06 (msg_server.exe v7200.70.18.23869 verzió)
- SAP NetWeaver 7.30 SP04 (msg_server.exe v7200.201.0.0 verzió)
Megoldás
Telepítse a javítócsomagokatTámadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of availability (Elérhetőség elvesztése)Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Gyártói referencia: service.sap.com
Egyéb referencia: www.coresecurity.com
CVE-2013-1592 - NVD CVE-2013-1592
CVE-2013-1593 - NVD CVE-2013-1593
SECUNIA 52215