CVE-2021-21480

सारांश

SAP MII उपयोगकर्ताओं को डैशबोर्ड बनाने और उन्हें SSCE (Self Service Composition Environment) के माध्यम से JSP के रूप में सहेजने की अनुमति देता है। एक हमलावर सर्वर पर भेजे गए अनुरोध को इंटरसेप्ट कर सकता है, अनुरोध में दुर्भावनापूर्ण JSP कोड इंजेक्ट कर सकता है और उसे सर्वर पर अग्रेषित कर सकता है। जब यह डैशबोर्ड कम से कम SAP_XMII Developer भूमिका वाले उपयोगकर्ताओं द्वारा खोला जाता है, तो डैशबोर्ड में मौजूद दुर्भावनापूर्ण सामग्री निष्पादित हो जाती है, जिससे सर्वर पर रिमोट कोड निष्पादन होता है, जो विशेषाधिकार वृद्धि (privilege escalation) को सक्षम बनाता है। दुर्भावनापूर्ण JSP कोड में कुछ OS कमांड शामिल हो सकते हैं, जिनके माध्यम से एक हमलावर सर्वर में संवेदनशील फ़ाइलें पढ़ सकता है, फ़ाइलों को संशोधित कर सकता है या सर्वर में सामग्री को हटा भी सकता है, जिससे SAP MII एप्लिकेशन होस्ट करने वाले सर्वर की गोपनीयता, अखंडता और उपलब्धता से समझौता होता है। इसके अलावा, एक हमलावर जो डेवलपर के रूप में प्रमाणित है, एप्लिकेशन का उपयोग करके एक फ़ाइल अपलोड और निष्पादित कर सकता है, जो उन्हें ऑपरेटिंग सिस्टम कमांड निष्पादित करने की अनुमति देगा, जिससे एप्लिकेशन होस्ट करने वाला सर्वर पूरी तरह से समझौता हो जाता है।

• vulnerability_advisoriesजानकारीपूर्ण

  ओनैप्सिस सुरक्षा सलाहकार। https://www.onapsis.com