S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 22 janvier 2010 No CERTA-2010-AVI-026

Affaire suivie par :

CERTA

Objet : Vulnérabilités des produits SAP

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire à distance ;
• atteinte à la confidentialité des données ;
• atteinte à l'intégrité des données ;
• injection de code indirecte à distance.

2 Systèmes affectés

• BusinessObjects XI 3.x ( 12.x) ;
• SAP WebAS 6.x et 7.x.

3 Résumé

4 Description

• plusieurs manques de vérification des données entrées par l'utilisateur permettent de réaliser des injections de code indirectes ;
• plusieurs manques de vérification dans les redirecteurs permettent de détourner les utilisateurs vers des sites tiers à leur insu ;
• plurieurs vulnérabilités permettent à un utilisateur malveillant d'accéder à des informations sensibles.

Une vulnérabilité concerne SAP WebAS. Elle permet à un utilisateur malveillant local ou distant, d'exécuter du code arbitraire, de modifier ou de lire les données sur le serveur vulnérable.

5 Solution

Pour BusinessObjects, les correctifs sont les fixpacks 1.8 et 2.3.

Pour SAP WebAS, les correctifs sont accessibles par le bulletin SAP Note 1412112 (cf. section Documentation).

6 Documentation

• Site de téléchargement de BusinessObjects :

  http://www.sap.com/solutions/sapbusinessobjects/index.epx
  

• Bulletin SAP Note 1412112 :

  https://service.sap.com/sap/support/notes/1414112
  

Gestion détaillée du document

22 janvier 2010

version initiale.