جزئیات آسیب‌پذیری
CVE-2020-6287
بهره‌برداری فعال
SAP_SE SAP NetWeaver AS JAVA
CVSS 3.0
10.0بحرانی
نمای کلی
اکسپلویت‌های عمومی
اخبار مرتبط
خط زمانی
خلاصه‌ی فارسی
خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.
شرح رسمی (انگلیسی)
SAP NetWeaver AS JAVA (LM Configuration Wizard), versions - 7.30, 7.31, 7.40, 7.50, does not perform an authentication check which allows an attacker without prior authentication to execute configuration tasks to perform critical actions against the SAP Java system, including the ability to create an administrative user, and therefore compromising Confidentiality, Integrity and Availability of the system, leading to Missing Authentication Check.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 10.0بحرانی | 3.0 | CVEProject cvelistV5 (CNA) (sap) | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| SAP_SE | SAP NetWeaver AS JAVA (LM Configuration Wizard) | < 7.30 | CVEProject cvelistV5 (CNA) |
| SAP_SE | SAP NetWeaver AS JAVA (LM Configuration Wizard) | < 7.31 | CVEProject cvelistV5 (CNA) |
| SAP_SE | SAP NetWeaver AS JAVA (LM Configuration Wizard) | < 7.40 | CVEProject cvelistV5 (CNA) |
| SAP_SE | SAP NetWeaver AS JAVA (LM Configuration Wizard) | < 7.50 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۶- https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=552599675 x_refsource_MISC
- https://launchpad.support.sap.com/#/notes/2934135 x_refsource_MISC
- https://www.onapsis.com/recon-sap-cyber-security-vulnerability x_refsource_MISC
- http://seclists.org/fulldisclosure/2021/Apr/6 mailing-listx_refsource_FULLDISC
- http://packetstormsecurity.com/files/162085/SAP-JAVA-Configuration-Task-Execution.html x_refsource_MISC
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-6287 government-resource
اطلاعات
- تاریخ انتشار
- ۱۳۹۹/۰۴/۲۴
- آخرین به‌روزرسانی
- ۱۴۰۴/۰۷/۳۰
- وضعیت
- PUBLISHED
- صادرکننده (CNA)
- sap
- اولویت کلون
- به‌زودی
فهرست KEV آژانس CISA
- تاریخ افزوده‌شدن
- ۱۴۰۰/۰۸/۱۲
- مهلت رفع
- ۱۴۰۱/۰۲/۱۳
- استفاده در باج‌افزار
- نامشخص
پیش‌بینی بهره‌برداری (EPSS)
۹۴٫۷۱٪
احتمال بهره‌برداری در ۳۰ روز
۹۹٫۸٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- Automatable
- yes
- Exploitation
- active
- Technical Impact
- total
ضعف‌ها (CWE)
- CWE-306Missing Authentication for Critical Function