权限提升漏洞

CVE编号

CVE-2018-2454

利用情况

暂无

补丁情况

N/A

披露时间

2018-09-12

漏洞描述

SAP Enterprise Financial Services版本6.05、6.06、6.16、6.17、6.18、8.0（在业务功能EAFS_BCA_BUSOPR_2中）未对经过身份验证的用户执行必要的授权检查，从而导致特权升级。

解决建议

厂商已发布了漏洞修复程序，请及时关注更新：
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=499356993

参考链接
http://www.securityfocus.com/bid/105316
https://launchpad.support.sap.com/#/notes/2645133
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=499356993

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	sap	enterprise_financial_services	6.05	-
	运行在以下环境
	应用	sap	enterprise_financial_services	6.06	-
	运行在以下环境
	应用	sap	enterprise_financial_services	6.16	-
	运行在以下环境
	应用	sap	enterprise_financial_services	6.17	-
	运行在以下环境
	应用	sap	enterprise_financial_services	6.18	-
	运行在以下环境
	应用	sap	enterprise_financial_services	8.0	-

CVSS3评分 8.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 低
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-862 授权机制缺失