Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans les produits SAP

Gestion du document

Référence	CERTFR-2020-AVI-630
Titre	Multiples vulnérabilités dans les produits SAP
Date de la première version	13 octobre 2020
Date de la dernière version	13 octobre 2020
Source(s)	Bulletin de sécurité SAP du 13 octobre 2020

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Exécution de code arbitraire à distance
Injection de code indirecte à distance (XSS)
Non spécifié par l'éditeur

Systèmes affectés

SAP 3D Visual Enterprise Viewer version 9
SAP Banking Services version 500
SAP Business Planning and Consolidation versions 750, 751, 752, 753, 754, 755, 810, 100 et 200
SAP Commerce Cloud versions 1808, 1811, 1905 et 2005
SAP NetWeaver (Compare systems) versions - 7.20, 7.30, 7.31, 7.40, 7.50
SAP NetWeaver (DI Design Time Repository) versions 7.11, 7.30, 7.31, 7.40 et 7.50
SAP NetWeaver Application Server ABAP (POWL test application) versions 710, 711, 730, 731, 740 et 750
SAP NetWeaver Application Server Java versions 7.10, 7.11, 7.20, 7.30, 7.31, 7.40 et 7.50
SAP NetWeaver Composite Application Framework versions 7.20, 7.30, 7.31, 7.40 et 7.50
SAP NetWeaver Enterprise Portal (Fiori Framework Page) versions 7.50, 7.31, et 7.40
SAP Solution Manager (CA Introscope Enterprise Manager) et SAP Focused Run (CA Introscope Enterprise Manager) versions WILY_INTRO_ENTERPRISE 9.7, 10.1, 10.5 et 10.7

Résumé

De multiples vulnérabilités ont été découvertes dans les produits SAP. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un contournement de la politique de sécurité et une atteinte à l'intégrité des données.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité SAP du 13 octobre 2020
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=558632196
Référence CVE CVE-2020-6272
https://www.cve.org/CVERecord?id=CVE-2020-6272
Référence CVE CVE-2020-6308
https://www.cve.org/CVERecord?id=CVE-2020-6308
Référence CVE CVE-2020-6315
https://www.cve.org/CVERecord?id=CVE-2020-6315
Référence CVE CVE-2020-6319
https://www.cve.org/CVERecord?id=CVE-2020-6319
Référence CVE CVE-2020-6323
https://www.cve.org/CVERecord?id=CVE-2020-6323
Référence CVE CVE-2020-6362
https://www.cve.org/CVERecord?id=CVE-2020-6362
Référence CVE CVE-2020-6363
https://www.cve.org/CVERecord?id=CVE-2020-6363
Référence CVE CVE-2020-6364
https://www.cve.org/CVERecord?id=CVE-2020-6364
Référence CVE CVE-2020-6365
https://www.cve.org/CVERecord?id=CVE-2020-6365
Référence CVE CVE-2020-6366
https://www.cve.org/CVERecord?id=CVE-2020-6366
Référence CVE CVE-2020-6367
https://www.cve.org/CVERecord?id=CVE-2020-6367
Référence CVE CVE-2020-6368
https://www.cve.org/CVERecord?id=CVE-2020-6368
Référence CVE CVE-2020-6369
https://www.cve.org/CVERecord?id=CVE-2020-6369
Référence CVE CVE-2020-6370
https://www.cve.org/CVERecord?id=CVE-2020-6370
Référence CVE CVE-2020-6371
https://www.cve.org/CVERecord?id=CVE-2020-6371
Référence CVE CVE-2020-6373
https://www.cve.org/CVERecord?id=CVE-2020-6373
Référence CVE CVE-2020-6374
https://www.cve.org/CVERecord?id=CVE-2020-6374
Référence CVE CVE-2020-6375
https://www.cve.org/CVERecord?id=CVE-2020-6375
Référence CVE CVE-2020-6376
https://www.cve.org/CVERecord?id=CVE-2020-6376

Gestion détaillée du document

Date	Description
13 octobre 2020	Version initiale