Risque(s)

• Non spécifié par l'éditeur
• Exécution de code arbitraire à distance
• Contournement de la politique de sécurité
• Élévation de privilèges
• Injection de code indirecte à distance (XSS)

Systèmes affectés

• SAP Business Client versions 6.5, 7.0, 7.70
• SAP BusinessObjects

Business Intelligence Platform versions 420, 430

SAP NetWeaver Process Integration version 7.50

SAP Commerce versions 1905, 2005, 2105, 2011, 2205

SAP NetWeaver Process Integration version 7.50

SAPBASIS versions 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 789, 790, 791

SAP Business Planning et Consolidation versions SAP_BW 750, 751, 752, 753, 754, 755, 756, 757, DWCORE 200, 300, CPMBPC 8103229132

SAP BusinessObjects Business Intelligence Platform (Program Objects) versions 420, 430

SAP Commerce Webservices 2.0 (Swagger UI) versions 1905, 2005, 2105, 2011, 2205

SAPUI5 CLIENT RUNTIME versions 600, 700, 800, 900, 1000

SAPUI5 versions 754, 755, 756, 757

SAP Disclosure Management version 10.1

SAP NetWeaver AS pour Java (Http Provider Service) version 7.50

SAP Solution Manager (Enterprise Search) versions 740, 750

SAP NetWeaver AS ABAP (Business ServerPages Test Application IT00) versions 700, 701, 702, 730, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757

SAP Solution Manager (Diagnostic Agent) version 7.20

SAP NetWeaver ABAP Server and ABAP Platform versions 700, 701, 702, 731, 740, 750-757, 789, 790

SAP Business Objects Business Intelligence Platform (Web intelligence) versions 420, 430

SAP Sourcing and SAP Contract Lifecycle Management version 1100

Résumé

De multiples vulnérabilités ont été découvertes dans les produits SAP. Certaines d'entre elles permettent à un attaquant de provoquer un problème de sécurité non spécifié par l'éditeur, une exécution de code arbitraire à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité SAP du 13 décembre 2022
  https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=1&todaysdate=2022-12-14
• Référence CVE CVE-2022-41267
  https://www.cve.org/CVERecord?id=CVE-2022-41267
• Référence CVE CVE-2022-41272
  https://www.cve.org/CVERecord?id=CVE-2022-41272
• Référence CVE CVE-2022-42889
  https://www.cve.org/CVERecord?id=CVE-2022-42889
• Référence CVE CVE-2022-41271
  https://www.cve.org/CVERecord?id=CVE-2022-41271
• Référence CVE CVE-2022-41264
  https://www.cve.org/CVERecord?id=CVE-2022-41264
• Référence CVE CVE-2022-41268
  https://www.cve.org/CVERecord?id=CVE-2022-41268
• Référence CVE CVE-2022-39013
  https://www.cve.org/CVERecord?id=CVE-2022-39013
• Référence CVE CVE-2022-41266
  https://www.cve.org/CVERecord?id=CVE-2022-41266
• Référence CVE CVE-2022-35737
  https://www.cve.org/CVERecord?id=CVE-2022-35737
• Référence CVE CVE-2022-41274
  https://www.cve.org/CVERecord?id=CVE-2022-41274
• Référence CVE CVE-2022-41262
  https://www.cve.org/CVERecord?id=CVE-2022-41262
• Référence CVE CVE-2022-41275
  https://www.cve.org/CVERecord?id=CVE-2022-41275
• Référence CVE CVE-2020-6215
  https://www.cve.org/CVERecord?id=CVE-2020-6215
• Référence CVE CVE-2022-41261
  https://www.cve.org/CVERecord?id=CVE-2022-41261
• Référence CVE CVE-2022-41215
  https://www.cve.org/CVERecord?id=CVE-2022-41215
• Référence CVE CVE-2022-41263
  https://www.cve.org/CVERecord?id=CVE-2022-41263
• Référence CVE CVE-2022-41273
  https://www.cve.org/CVERecord?id=CVE-2022-41273