Heimdall Security Logo

CVE-2021-21480

Vulnérabilité élevée dans SAP Manufacturing Integration and Intelligence (SAP SE)

CVSS 8.8 · Élevée
EPSS 52.1%
SAP SE•SAP Manufacturing Integration and Intelligence•Versions : < 15.4, < 15.1, < 15.3, < 15.2

Description

SAP MII allows users to create dashboards and save them as JSP through the SSCE (Self Service Composition Environment). An attacker can intercept a request to the server, inject malicious JSP code in the request and forward to server. When this dashboard is opened by users having at least SAP_XMII Developer role, malicious content in the dashboard gets executed, leading to remote code execution in the server, which allows privilege escalation. The malicious JSP code can contain certain OS commands, through which an attacker can read sensitive files in the server, modify files or even delete contents in the server thus compromising the confidentiality, integrity and availability of the server hosting the SAP MII application. Also, an attacker authenticated as a developer can use the application to upload and execute a file which will permit them to execute operating systems commands completely compromising the server hosting the application.

Gravité et risque d'exploitation

CVE-2021-21480 obtient un score CVSS de 8.8/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 52.10 %, ce qui la place devant 99.0 % des CVE référencées.

Que faire ?

  • Vérifiez si SAP Manufacturing Integration and Intelligence (versions < 15.4, < 15.1, < 15.3, < 15.2) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE