Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans les produits SAP

Gestion du document

Référence	CERTFR-2022-AVI-1020
Titre	Multiples vulnérabilités dans les produits SAP
Date de la première version	10 novembre 2022
Date de la dernière version	10 novembre 2022
Source(s)	Bulletin de sécurité SAP du 09 novembre 2022

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Déni de service à distance
Exécution de code arbitraire à distance
Élévation de privilèges

Systèmes affectés

SAP 3D Visual Enterprise Author,Version 9.0
SAP 3D Visual Enterprise Viewer,Version 9.0
SAP Biller Direct versions-635, 750
SAP BusinessObjects Business Intelligence Platform (Central Management Console et BI Launchpad) versions 4.2, 4.3
SAP Commerce versions 1905, 2005, 2105, 2011, 2205
SAP Financial Consolidation version 1010
SAP GUI pour Windows version 7.70
SAP NetWeaver ABAP Server et ABAP Platform versions 700, 731, 740, 750, 789
SAP NetWeaver Application Server ABAP et ABAP Platform versions 700, 731, 804, 740, 750, 789
SAP SQL Anywhere version 17.0
SAP SuccessFactors attachmentAPI pour Mobile Application (Android et iOS) versions antérieures à 8.1.2
SAPUI5 CLIENT RUNTIME versions 600, 700, 800, 900, 1000
SAPUI5 versions 754, 755, 756, 757

Résumé

De multiples vulnérabilités ont été découvertes dans les produits SAP. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité SAP du 09 novembre 2022
https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=1&todaysdate=2022-11-09
Référence CVE CVE-2021-20223
https://www.cve.org/CVERecord?id=CVE-2021-20223
Référence CVE CVE-2022-35291
https://www.cve.org/CVERecord?id=CVE-2022-35291
Référence CVE CVE-2022-35737
https://www.cve.org/CVERecord?id=CVE-2022-35737
Référence CVE CVE-2022-41203
https://www.cve.org/CVERecord?id=CVE-2022-41203
Référence CVE CVE-2022-41204
https://www.cve.org/CVERecord?id=CVE-2022-41204
Référence CVE CVE-2022-41205
https://www.cve.org/CVERecord?id=CVE-2022-41205
Référence CVE CVE-2022-41207
https://www.cve.org/CVERecord?id=CVE-2022-41207
Référence CVE CVE-2022-41208
https://www.cve.org/CVERecord?id=CVE-2022-41208
Référence CVE CVE-2022-41211
https://www.cve.org/CVERecord?id=CVE-2022-41211
Référence CVE CVE-2022-41212
https://www.cve.org/CVERecord?id=CVE-2022-41212
Référence CVE CVE-2022-41214
https://www.cve.org/CVERecord?id=CVE-2022-41214
Référence CVE CVE-2022-41215
https://www.cve.org/CVERecord?id=CVE-2022-41215
Référence CVE CVE-2022-41258
https://www.cve.org/CVERecord?id=CVE-2022-41258
Référence CVE CVE-2022-41259
https://www.cve.org/CVERecord?id=CVE-2022-41259
Référence CVE CVE-2022-41260
https://www.cve.org/CVERecord?id=CVE-2022-41260

Gestion détaillée du document

Date	Description
10 novembre 2022	Version initiale