正文

PwC ACE-ABAP远程代码执行漏洞

admin
admin V管理员 /0 评论 /25 阅读
0426
此篇文章发布距今已超过1147天，您需要注意文章的内容或图片是否可用！

CVE编号

CVE-2016-9832

利用情况

暂无

补丁情况

N/A

披露时间

2016-12-10
漏洞描述
ACE（Automated Controls Evaluator）是PwC（普华永道）公司发展的一款可以用来分析SAP安全设置，分辨特权访问和潜在的职责分离的工具。ABAP（Advanced Business Application Programming）。
PwC ACE-ABAP存在远程代码执行漏洞。利用该漏洞，远程攻击者可以执行任意代码。失败的攻击会造成拒绝服务。
解决建议
厂商尚未提供漏洞修复方案，请关注厂商主页更新：
https://www.esnc.de/security-advisories/vulnerability-in-pwc-ace-for-sap-security/index.html
参考链接
http://packetstormsecurity.com/files/140062/PwC-ACE-Software-For-SAP-Security...
http://seclists.org/fulldisclosure/2016/Dec/33
http://www.securityfocus.com/archive/1/539883/100/0/threaded
http://www.securityfocus.com/archive/1/539883/30/0/threaded
http://www.securityfocus.com/bid/94733
https://www.esnc.de/security-advisories/vulnerability-in-pwc-ace-for-sap-security
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 pwc ace-advanced_business_application_programming 8.10.304 -
CVSS3评分 9.9
  • 攻击路径 网络
  • 攻击复杂度 低
  • 权限要求 低
  • 影响范围 已更改
  • 用户交互 无
  • 可用性 高
  • 保密性 高
  • 完整性 高
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-74 输出中的特殊元素转义处理不恰当（注入）