🕵️ SAP NetWeaver 7.40 SP12 SCTC_REFRESH_CHECK_ENV erweiterte Rechte

🕛 Zeit seit Veröffentlichung: 2906 Tage, 7 Stunden 51 Minuten
📆 Veröffentlicht am: 03.10.2016 um 02:00 Uhr
Nachrichtenbereich: 🕵️ Sicherheitslücken
🔗 Quelle: vuldb.com

Eine kritische Schwachstelle wurde in SAP NetWeaver 7.40 SP12 ausgemacht. Hierbei geht es um die Funktion SCTC_REFRESH_CHECK_ENV. Durch Manipulation mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle (OS Command Injection) ausgenutzt werden. Auswirkungen sind zu beobachten für Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 03.10.2016 durch Pablo Artuso als ONAPSIS-00256 / ONAPSIS-2016-043 in Form eines ungeprüften Mailinglist Posts (Full-Disclosure) veröffentlicht. Auf seclists.org kann das Advisory eingesehen werden. Die Identifikation der Schwachstelle findet seit dem 09.09.2016 als CVE-2016-7435 statt. Die Ausnutzbarkeit ist als leicht bekannt. Der Angriff kann über das Netzwerk passieren. Das Angehen einer einfachen Authentisierung ist erforderlich, um eine Ausnutzung anzugehen. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht. Als Preis für einen Exploit ist zur Zeit ungefähr mit USD $5k-$10k zu rechnen.

Dabei muss 251 Tage als nicht veröffentlichte Zero-Day Schwachstelle ausgegangen werden. Während dieser Zeit erzielte er wohl etwa $10k-$25k auf dem Schwarzmarkt.

Die Schwachstelle lässt sich durch das Einspielen eines Patches beheben. Das Erscheinen einer Gegenmassnahme geschah schon vor und nicht nach der Veröffentlichung der Schwachstelle. SAP hat entsprechend vorab reagiert.

Die Einträge 92291 und 92293 sind sehr ähnlich.

CVSSv3

Base Score: 8.3 [?]
Temp Score: 7.6 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H/E:X/RL:O/RC:R [?]
Zuverlässigkeit: High

CVSSv2

Base Score: 8.7 (CVSS2#AV:N/AC:L/Au:S/C:P/I:C/A:C) [?]
Temp Score: 7.2 (CVSS2#E:ND/RL:OF/RC:UR) [?]
Zuverlässigkeit: High

CPE

• cpe:/a:sap:netweaver:7.40:sp12

Exploiting

Klasse: Erweiterte Rechte
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$1k (0-day) / $0-$1k (Heute)

Gegenmassnahmen

Empfehlung: Patch
Status: Offizieller Fix
Reaction Time: 251 Tage seit gemeldet
0-Day Time: 251 Tage seit gefunden

Timeline

26.11.2015 Hersteller informiert
27.11.2015 Hersteller bestätigt
03.08.2016 Gegenmassnahme veröffentlicht
09.09.2016 CVE zugewiesen
03.10.2016 Advisory veröffentlicht
04.10.2016 VulDB Eintrag erstellt
04.10.2016 VulDB letzte Aktualisierung

Quellen

Advisory: ONAPSIS-00256 / ONAPSIS-2016-043
Person: Pablo Artuso
Status: Ungeprüft

CVE: CVE-2016-7435 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 92291, 92293

Eintrag

Erstellt: 04.10.2016
Eintrag: 76.3% komplett
...