SAPCommerceプラットフォームに影響を与える新しい重大な脆弱性が昨日報告されました.
SAPCommercePlatformのCVE-2021-21477
CVE-2021-21477により、攻撃者はeコマースビジネスで使用されるSAPアプリケーションを利用できるようになる可能性があります, リモートコード実行につながる. この欠陥はSAPCommerceのバージョンに影響します 1808, 1811, 1905, 2005, と 2011. その重大度スコアは 9.9 CVSSスケールによると10のうち, 影響を重大にする. できるだけ早く脆弱性を軽減することを強くお勧めします.
脆弱性はどのように機能しますか?
必要な権限を持つ特定のユーザーがDroolsルールを編集できるようにする可能性があります, プラットフォームのルールを作成するエンジン. 企業はこれらのルールを使用して、複雑な意思決定のバリエーションをナビゲートします.
すなわち, バグは、ruleContent属性を含む特定のルールに起因します, スクリプト機能の提供. SAPコマースに同梱されているデフォルトのユーザー権限の設定を誤ると、権限の低いユーザーとユーザーグループが権限を取得し、DroolsRuleのruleContentsを変更する可能性があります。. この変更により、対応するスクリプト機能への意図しないアクセスが発生する可能性があります.
言い換えると, 権限の低い攻撃者は、Droolsルールスクリプトにコードを挿入できる可能性があります. このようなコードが挿入されると、リモートでコードが実行される条件が作成されます, 基盤となるホストの侵害につながる可能性があります.
CVE-2021-21477のパッチが利用可能です, しかし…
幸運, パッチはすでにリリースされています. でも, 修正は部分的です, プラットフォームの新規インストールを初期化するときのデフォルトの権限に対応しているため.
「SAPCommerceの既存のインストールの場合, 追加の手動修復手順が必要です. 良いニュースは、既存のインストールの場合です, これらの手動修復手順は、最新のパッチリリースをタイムリーにインストールできないSAPCommerceインストールの完全な回避策として使用できます。,」 説明 Onapsisのセキュリティ研究者ThomasFritsch.
7月に 2020, LM構成ウィザードと呼ばれるJavaコンポーネントを含むSAPNetWeaverアプリケーションで別の重大なセキュリティの脆弱性が検出されました. CVE-2020-6287の脆弱性 ハッキンググループに悪用された. このソフトウェアを含む影響を受ける企業の数は約 400,000. 独立したセキュリティ監査により、 2,500 インターネットに公開され、バグに対して脆弱なSAPシステム.
ミレーナ・ディミトロワ
プロジェクトの開始以来SensorsTechForumに所属しているインスピレーションを得たライター兼コンテンツマネージャー. の専門家 10+ 魅力的なコンテンツの作成における長年の経験. ユーザーのプライバシーとマルウェア開発に焦点を当てています, 彼女はサイバーセキュリティが中心的な役割を果たす世界を強く信じています. 常識が意味をなさない場合, 彼女はメモを取るためにそこにいます. それらのメモは後で記事になる可能性があります! Milena@Milenyimをフォローする
フォローしてください: