CVE-2022-22536
SAP एकाधिक उत्पादों में HTTP Request Smuggling भेद्यता
- प्रकाशित
- 9 फ़र॰ 2022
- अद्यतन
- 21 अक्टू॰ 2025
- सीएनए असाइन करना
- sap
- साक्ष्य देखे गए
- 18 अग॰ 2022
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.9%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
SAP NetWeaver Application Server ABAP, SAP NetWeaver Application Server Java, ABAP Platform, SAP Content Server 7.53 और SAP Web Dispatcher अनुरोध तस्करी और अनुरोध संयोजन के लिए संवेदनशील हैं। एक अप्रमाणित हमलावर पीड़ित के अनुरोध से पहले मनमाना डेटा जोड़ सकता है। इस तरह, हमलावर पीड़ित का रूप धारण करके कार्यों को निष्पादित कर सकता है या मध्यवर्ती वेब कैश को विषाक्त कर सकता है। एक सफल हमले के परिणामस्वरूप सिस्टम की गोपनीयता, अखंडता और उपलब्धता से पूर्ण समझौता हो सकता है।
स्रोत
http/cves/2022/CVE-2022-22536.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: dsl,status,word($.matchers[*].type)
सैप ICM या Web Dispatcher इंस्टेंस में CVE-2022-22536 का पता लगाने के लिए तेज़, सॉकेट-स्तरीय स्कैनर। विशेष रूप से तैयार किए गए MPI-desync पेलोड के साथ request smuggling परीक्षण करता है। सादा पाठ फ़ाइलों के माध्यम से IP:PORT लक्ष्यों की बैच स्कैनिंग का समर्थन करता है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।