“Adobe文档服务允许拥有管理员权限的攻击者从易受攻击的网络应用程序发送精心制作的请求。通常用于针对防火墙后方的内部系统，这些系统通常对外部网络的攻击者是不可访问的，从而导致服务器端请求伪造（SSRF）漏洞。”通告中写道。“成功利用该漏洞后，攻击者可以读取或修改任何文件，并/或使整个系统不可用。”
作为同一安全通告的一部分，公司还修复了另外两个漏洞，追踪编号为CVE-2024-47579和CVE-2024-47580，这些漏洞被标记为“热门新闻”。这两个漏洞都是中等严重性的问题，攻击者可以利用它们读取服务器上的文件。
“这些漏洞（追踪编号为CVE-2024-47578、CVE-2024-47579和CVE-2024-47580）集体暴露组织面临潜在的服务器端请求伪造（SSRF）、未经授权的文件访问和信息泄露的风险。”Onapsis发布的分析中写道。
SAP还修复了Web Dispatcher中的一个跨站脚本（XSS）漏洞（CVSS评分为8.8），追踪编号为CVE-2024-47590。公司还修复了SAP NetWeaver Application Server ABAP中通过远程函数调用（RFC）的信息泄露漏洞，追踪编号为CVE-2024-54198（CVSS评分为8.5）。
公司目前没有发现任何利用2024年12月安全补丁日修复的漏洞进行的攻击。
原文始发于微信公众号（黑猫安全）：SAP修复了NetWeaver的Adobe文档服务中的严重SSRF漏洞
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论