CVE-2010-5326
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 10
- EPSS
- 17.8%
- CWE
- NVD-CWE-noinfo
- KEV Durumu
- Evet
Yayım tarihi: 13 Mayıs 2016 · CISA KEV son iyileştirme tarihi: 3 Mayıs 2022
Etkilenen: sap netweaver_application_server_java
SAP NetWeaver Uygulama Sunucusu Java platformlarında, muhtemelen 7.3 sürümünden önce, Invoker Servlet kimlik doğrulaması gerektirmez, bu da uzaktan saldırganların bir HTTP veya HTTPS isteği aracılığıyla keyfi kodu çalıştırmasına olanak tanır, yani 2013 ile 2016 yılları arasında vahşette kullanılan bir "Detour" saldırısı olarak bilinir.
Orijinal açıklama (İngilizce)
The Invoker Servlet on SAP NetWeaver Application Server Java platforms, possibly before 7.3, does not require authentication, which allows remote attackers to execute arbitrary code via an HTTP or HTTPS request, as exploited in the wild in 2013 through 2016, aka a "Detour" attack.
Referanslar
- http://service.sap.com/sap/support/notes/1445998
- http://www.onapsis.com/research/publications/sap-security-in-depth-vol4-the-invoker-servlet-a-dangerous-detour-into-sap-java-solutions
- http://www.securityfocus.com/bid/48925
- http://www.securityfocus.com/bid/90533
- http://www.us-cert.gov/ncas/alerts/TA16-132A
- https://www.onapsis.com/threat-report-tip-iceberg-wild-exploitation-cyber-attacks-sap-business-applications
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.