SAP Business Warehouse和SAP BW4HANA代码注入漏洞

CVE编号

CVE-2021-21466

利用情况

暂无

补丁情况

N/A

披露时间

2021-01-13

漏洞描述

SAP Business Warehouse（BW）是SAP的数据仓库解决方案。SAP BW提供了高性能的基础架构，可帮助您评估和解释数据。决策者可以根据分析的数据做出有根据的决策，并确定针对目标的活动。
SAP Business Warehouse 700、701、702、711、730、731、740、750、782版本和SAP BW/4HANA 100、200版本存在代码注入漏洞。攻击者可通过远程启用功能模块利用该漏洞注入代码，获取敏感数据及导致拒绝服务。

解决建议

用户可参考如下厂商提供的安全补丁以修复该漏洞：
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=564760476

参考链接
https://launchpad.support.sap.com/#/notes/2999854
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=564760476

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	sap	business_warehouse	700	-
	运行在以下环境
	应用	sap	business_warehouse	701	-
	运行在以下环境
	应用	sap	business_warehouse	702	-
	运行在以下环境
	应用	sap	business_warehouse	711	-
	运行在以下环境
	应用	sap	business_warehouse	730	-
	运行在以下环境
	应用	sap	business_warehouse	731	-
	运行在以下环境
	应用	sap	business_warehouse	740	-
	运行在以下环境
	应用	sap	business_warehouse	750	-
	运行在以下环境
	应用	sap	business_warehouse	782	-
	运行在以下环境
	应用	sap	bw/4hana	100	-
	运行在以下环境
	应用	sap	bw/4hana	200	-

CVSS3评分 8.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 低
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-94 对生成代码的控制不恰当（代码注入）