SAP NetWeaver AS ABAP 7.4 ディレクトリトラバーサル

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
4.3	$0-$5k	0.00

要約情報

脆弱性が問題があるとして分類され、SAP NetWeaver AS ABAP 7.4で発見されました。影響を受けるのは不明な関数です。操作結果としてディレクトリトラバーサルにつながります。入手できるエクスプロイトツールはありません。

脆弱性が問題があるとして分類され、SAP NetWeaver AS ABAP 7.4で発見されました。影響を受けるのは不明な関数です。操作結果としてディレクトリトラバーサルにつながります。 CWEによる問題の宣言は、CWE-22 につながります。この脆弱性は 2016年11月18日に公開されました、Daria Prosochkinaによって、[ERPSCAN-16-031] SAP NetWeaver AS ABAP – directory traversal using READ DATASET / 2312966として、Mailinglist Postとして（Bugtraq）。アドバイザリーは seclists.org で共有されています。一般公開はベンダーと調整されました。

技術詳細は存在しません。この脆弱性の普及度は平均未満です。入手できるエクスプロイトツールはありません。現在の時点で、エクスプロイトの価格はおおよそUSD $0-$5kかもしれません。 MITRE ATT&CKプロジェクトは、攻撃手法を T1006 と定義しています。次のコードがこの脆弱性の原因です。

p_flen = 0. DO. READ DATASET p_ifilea INTO lw. Exit conditions for accessing in a loop IF sy-subrc NE 0. EXIT. ENDIF. APPEND lw TO p_itab .

p_flen = p_flen + XSTRLEN( lw-d ) . ENDDO.

勧告では次の点が指摘されています：

he code provides access to the file specified after the READ DATASET statement. The variable transmitted to the input of the statement is entered in it by user input. Thus, the user can access the files stored on the operating system. This vulnerability is called a Directory Traversal.

未定義として設定されています。この脆弱性は少なくとも209日間、非公開のゼロデイ攻撃として扱われていました。 0-dayとして、アンダーグラウンドでの推定価格は$5k-$25k程度でした。