redrays-io/cve-2022-39802[CVE-2022-39802] ثغرة اجتياز مسار الملف في SAP Manufacturing Execution
المخاطرة: حرجة
الإصدارات المتأثرة:
SAP MFG EXECUTION CORE 15.1
SAP MFG EXECUTION CORE 15.2
SAP MFG EXECUTION CORE 15.3
رابط البائع: https://sap.com
الخلل: ثغرة اجتياز مسار الملف
تاريخ التبليغ: سبتمبر 2022
تاريخ الإعلان العام: 12 أكتوبر 2022
المرجع: SAP Security Note 3242933
المؤلف: RedRays R&D
معلومات الاستشارة العنوان: 3242933 – [CVE-2022-39802] ثغرة اجتياز مسار الملف في SAP Manufacturing Execution الاستشارة: [RedRays-22-031]
قابلة للاستغلال عن بعد: نعم قابلة للاستغلال محليًا: لا
معلومات CVSS نقاط أساس CVSS v3: 9.9 / 10 (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N)
مع تصنيف CVSS يبلغ 9.9، تؤثر الثغرة التي تم إصلاحها في ملاحظة أمان SAP رقم 3242933 على SAP Manufacturing Execution وتعتبر كبيرة.
يتضمن عنوان URL المستخدم للاستعلام عن هذه البيانات وسيطة مسار ملف يمكن تعديلها لتوفير تصفح غير مقيد للدليل على الخادم البعيد. سيكون مستخدم نظام التشغيل الذي يقوم بتشغيل عملية أو خدمة NetWeaver قادرًا على الوصول إلى الملفات الموجودة في كل دليل. يقوم إصلاح الكود في التصحيح بمعالجة المسار داخليًا. يمنع ذلك إرسال القيمة ديناميكيًا كسلسلة استعلام. مع درجة CVSS تبلغ 9.9، قد يكون التأثير على السرية والنزاهة والتوفر كبيرًا جدًا اعتمادًا على نوع المعلومات التي يتم الوصول إليها أثناء الهجوم.
تقترح SAP إصلاحًا مؤقتًا يتم فيه إزالة البيانات الحساسة من أنظمة الملفات المتاحة لمستخدم نظام التشغيل وتقييد وصول مستخدم نظام التشغيل إلى مسارات الملفات غير الضرورية.
سيتم نشر إثبات المفهوم (PoC) في يناير 2023.
توقيع الثغرة متاح على منصة RedRays Security Platform. RedRays Advisory
الهدف الرئيسي لـ RedRays هو تضييق الفجوة الأمنية في كل من المجالات التقنية والتجارية. تقدم الشركة حلولاً لفحص وحماية أنظمة SAP وOracle وMicrosoft ERP من الهجمات الإلكترونية والاحتيال الداخلي.
عادةً، عملاؤنا هم منظمات كبيرة ومزودو خدمات مُدارة تشمل احتياجاتهم المراقبة الفعالة وإدارة الأمان عبر بيئات SAP واسعة النطاق في جميع أنحاء العالم.
تستند كفاءة الشركة إلى قسم الأبحاث في RedRays، المتخصص في أبحاث الثغرات وتحليل تطبيقات الشركات الأساسية. وقد حصلت على العديد من الجوائز من شركات البرمجيات الكبرى، بما في ذلك SAP وOracle وMicrosoft Dynamics وIBM.
طُلب من خبراء RedRays إلقاء محاضرات وتقديم عروض وتدريب في مؤتمرات أمنية دولية كبرى في جميع القارات.
العنوان: الدار البيضاء، المغرب
الهاتف: (+32)489-16-78-85