SAP NetWeaver 7.40 SP12 SCTC_TMS_MAINTAIN_ALOG elévation de privilèges
| CVSS Score de méta-température | Exploit Prix Actuel (≈) | Score d'intérêt CTI |
|---|---|---|
| 8.7 | $0-$5k | 0.00 |
Résumé
Une vulnérabilité a été trouvé dans SAP NetWeaver 7.40 SP12 et classée critique. Affecté par ce problème est la fonction SCTC_TMS_MAINTAIN_ALOG. La manipulation avec une valeur d'entrée inconnue mène à une vulnérabilité de classe elévation de privilèges. La notice d'information est disponible en téléchargement sur seclists.org.
Cette vulnérabilité a été nommée CVE-2016-7435. Il est possible d'initialiser l'attaque à distance.
La meilleure solution suggérée pour atténuer le problème est d'appliquer le correctif au composant infecté.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.
Des détails
Une vulnérabilité qui a été classée critique a été trouvée dans SAP NetWeaver 7.40 SP12 (Solution Stack Software). Affecté par cette vulnérabilité est la fonction SCTC_TMS_MAINTAIN_ALOG. A cause de la manipulation avec une valeur d'entrée inconnue mène à une vulnérabilité de classe elévation de privilèges.
La vulnerabilité a été publié en 03/10/2016 par Pablo Artuso avec Onapsis avec le numéro d'identification ONAPSIS-00256 / ONAPSIS-2016-043 avec mailinglist post (Full-Disclosure) (non défini). La notice d'information est disponible en téléchargement sur seclists.org Cette vulnérabilité est connue comme CVE-2016-7435. Elle est facilement utilisable. L'attaque peut être lancée à distance. Une seule session d'authentification est requise pour l'exploitation. Les détails technniques sont connus, mais aucun exploite n'est disponible.
Cette vulnérabilité a été classée comme 0-day non publique pendant au moins 251 jours.
En appliquant un correctif il est possible d'éliminer le problème. Une solution envisageable a été publiée même avant, et non après après la publication de la vulnérabilité.
La vulnérabilité est aussi documentée dans la base de données SecurityFocus (BID 93272†). Several companies clearly confirm that VulDB is the primary source for best vulnerability data.
Produit
Taper
Fournisseur
Nom
Version
Licence
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vecteur: 🔍VulDB Fiabilité: 🔍
CVSSv3
VulDB Score méta-base: 9.1VulDB Score de méta-température: 8.7
VulDB Note de base: 9.1
VulDB Note temporaire: 8.3
VulDB Vecteur: 🔍
VulDB Fiabilité: 🔍
NVD Note de base: 9.1
NVD Vecteur: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vecteur | Complexité | Authentification | Confidentialité | Intégrité | Disponibilité |
|---|---|---|---|---|---|
| ouvrir | ouvrir | ouvrir | ouvrir | ouvrir | ouvrir |
| ouvrir | ouvrir | ouvrir | ouvrir | ouvrir | ouvrir |
| ouvrir | ouvrir | ouvrir | ouvrir | ouvrir | ouvrir |
VulDB Note de base: 🔍
VulDB Note temporaire: 🔍
VulDB Fiabilité: 🔍
NVD Note de base: 🔍
Exploiting
Classe: Elévation de privilègesCWE: CWE-264
CAPEC: 🔍
ATT&CK: 🔍
Localement: Non
Remote: Oui
Disponibilité: 🔍
Statut: Non défini
EPSS Score: 🔍
EPSS Percentile: 🔍
Prédiction de prix: 🔍
Estimation actuelle des prix: 🔍
| 0-Day | ouvrir | ouvrir | ouvrir | ouvrir |
|---|---|---|---|---|
| Aujourd'hui | ouvrir | ouvrir | ouvrir | ouvrir |
Renseignements sur les menaces
Intérêt: 🔍Acteurs actifs: 🔍
Groupes APT actifs: 🔍
Contre-mesures
Recommandé: PatchStatut: 🔍
Temps de réaction: 🔍
Heure 0 jour: 🔍
Chronologie
26/11/2015 🔍27/11/2015 🔍
03/08/2016 🔍
09/09/2016 🔍
03/10/2016 🔍
03/10/2016 🔍
04/10/2016 🔍
05/10/2016 🔍
21/09/2022 🔍
Sources
Fournisseur: sap.comBulletin: ONAPSIS-00256 / ONAPSIS-2016-043
Chercheur: Pablo Artuso
Organisation: Onapsis
Statut: Non défini
CVE: CVE-2016-7435 (🔍)
GCVE (CVE): GCVE-0-2016-7435
GCVE (VulDB): GCVE-100-92293
SecurityFocus: 93272 - SAP Netweaver CVE-2016-7435 Multiple OS Command Injection Vulnerabilities
scip Labs: https://www.scip.ch/en/?labs.20150716
Voir aussi: 🔍
Entrée
Établi: 04/10/2016 10:15Mise à jour: 21/09/2022 16:20
Changements: 04/10/2016 10:15 (56), 30/04/2019 12:01 (14), 21/09/2022 16:13 (3), 21/09/2022 16:20 (1)
Compléter: 🔍
Cache ID: 216:DA4:103
Aucun commentaire pour l'instant. Langues: fr + en.
Veuillez vous connecter pour commenter.