CVE-2024-34687

Description

SAP NetWeaver Application Server for ABAP and ABAP Platform do not sufficiently encode user controlled inputs, resulting in Cross-Site Scripting (XSS) vulnerability. An attacker can control code that is executed within a user’s browser, which could result in modification, deletion of data, including accessing or deleting files, or stealing session cookies which an attacker could use to hijack a user’s session. Hence, this could have impact on Confidentiality, Integrity and Availability of the system.

Gravité et risque d'exploitation

CVE-2024-34687 obtient un score CVSS de 6.5/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.40 %, ce qui la place devant 33.0 % des CVE référencées.

Que faire ?

• Vérifiez si SAP NetWeaver Application server for ABAP and ABAP Platform (versions SAP_BASIS 752, SAP_BASIS 757, SAP_BASIS 750, SAP_BASIS 796, SAP_BASIS 700, SAP_BASIS 754, SAP_BASIS 756, SAP_BASIS 731, SAP_BASIS 758, SAP_BASIS 755, SAP_BASIS 795, SAP_BASIS 740, SAP_BASIS 751, SAP_BASIS 753, SAP_BASIS 702, SAP_BASIS 701) est présent sur votre parc.
• Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
• À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
• Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

• https://me.sap.com/notes/3448445
• https://support.sap.com/en/my-support/knowledge-base/security-notes-news.html