Risque(s)

• Exécution de code arbitraire à distance
• Déni de service à distance
• Contournement de la politique de sécurité
• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données
• Injection de code indirecte à distance (XSS)

Systèmes affectés

• SAP

NetWeaver AS JAVA versions 7.10, 7.11, 7.20, 7.30, 7.31, 7.40, 7.50

SAP BusinessObjects BI Platform versions 4.1, 4.2, 4.3

SAP Business Warehouse versions 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 782

SAP BW4HANA versions 100, 200

SAP Solution Manager version 7.20

SAP NetWeaver AS ABAP versions 2011_1_620, 2011_1_640, 2011_1_700, 2011_1_710, 2011_1_730, 2011_1_731, 2011_1_752, 2020

SAP S4 HANA versions 101, 102, 103, 104, 105

SAP Disclosure Management version 10.1

SAP NetWeaver AS ABAP versions 740, 750, 751, 752, 753, 754

SAP HANA Database version 2.0

Résumé

De multiples vulnérabilités ont été découvertes dans les produits SAP. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité SAP du 8 décembre 2020
  https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=564757079
• Référence CVE CVE-2020-26829
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-26829
• Référence CVE CVE-2020-26838
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-26838
• Référence CVE CVE-2020-26831
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-26831
• Référence CVE CVE-2020-26837
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-26837
• Référence CVE CVE-2020-26832
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-26832
• Référence CVE CVE-2020-26826
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-26826
• Référence CVE CVE-2020-26828
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-26828
• Référence CVE CVE-2020-26816
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-26816
• Référence CVE CVE-2020-26835
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-26835
• Référence CVE CVE-2020-26834
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-26834
• Référence CVE CVE-2020-26836
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-26836
• Référence CVE CVE-2020-26830
  https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-26830