CVE-2021-27635

SAP NetWeaver AS for JAVA versões 7.20, 7.30, 7.31, 7.40, 7.50

A vulnerabilidade permite que um invasor, autenticado como administrador, envie um arquivo XML especialmente criado devido à falta de validação XML. Isso permite que o invasor comprometa totalmente a confidencialidade ao ler qualquer arquivo no sistema de arquivos ou comprometa totalmente a disponibilidade ao causar a falha do sistema. No entanto, o ataque não pode ser usado para alterar quaisquer dados, portanto, não há comprometimento da integridade.

Para as versões 7.20, 7.30, 7.31, 7.40 e 7.50 do SAP NetWeaver AS para JAVA, considere implementar uma validação XML adequada para impedir o envio de arquivos XML especialmente criados.

Como solução alternativa temporária, restrinja o acesso ao recurso de envio de arquivos XML para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.