跳到主要内容

超危

SAP Netweaver文件上传漏洞

2021-09-14 11:21:36 公开 ，2025-10-22 00:21:34 更新

  • 关键漏洞
  • CISA KEV
  • 远程
  • CWE Top 25 (2023)
  • CWE Top 25 (2024)
  • 公开PoC
CWEs：
CWE-22 （Path Traversal）
SSVC：
可利用状态：已被积极利用攻击自动化：否技术影响评估：全部 2025-01-30 04:19:43

风险信息

CVSS v2 向量
AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS v2 风险值
9
CVSS v3 向量
AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS v3 风险值
8.8
CVSS v3.1 向量
AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVSS v3.1 风险值
9.9

详细信息

漏洞类型
代码问题
漏洞描述
SAP Netweaver是德国思爱普（SAP）公司的一套面向服务的集成化应用平台。该平台主要为SAP应用程序提供开发和运行环境。SAP NetWeaver（Visual Composer 7.0 RT）版本-7.30、7.31、7.40、7.50，无限制地，经身份验证为非管理用户的攻击者可以通过网络上传恶意文件并触发其处理，从而能够使用Java服务器进程的权限运行操作系统命令。这些命令可用于读取或修改服务器上的任何信息，或关闭服务器使其不可用。
修复建议
当前SAP客户应参阅SAP说明3084487以获取补丁信息，可从SAP网站获得（需要登录）： https://launchpad.support.sap.com/#/notes/3084487

参考链接