SAP披露重大层级漏洞,攻击者可趁机绕过身份验证

本月SAP例行更新于8月13日发布，该公司总共修补17个漏洞，其中有2个为重大层级，4个为高风险层级，其余漏洞的危险程度则列为中度风

险。
根据CVSS风险评分，最严重的漏洞是CVE-2024-41730，此漏洞出现于商业智能平台BusinessObjects，起因是缺乏身份验证的检核，这项问题出现在激活单一签入（SSO）的企业环境，攻击者可在未经身份验证的情况下，利用REST端点窃得登录系统的凭证（Token），CVSS风险评为9.8分，影响430、440版系统。
SAP指出，攻击者若成功利
来源:http://www.gggygw.cn
(http://www.h247.cn)
来源:http://www.28724.cn
(http://www.magicoasis.com.cn)
来源:http://www.unvf.cn
(http://www.uie98.cn)
来源:http://www.bengbuql.cn
(http://www.haalaa.cn)
来源:http://www.wuaijie.cn
(http://www.ntwy601.cn)
来源:http://www.diansblog.cn
(http://www.bgysf.cn)
来源:http://www.88mp3.cn
(http://www.y4291.cn)
来源:http://www.abhot.cn
(http://www.svbs.cn)
来源:http://www.book-pic.cn
(http://www.paht.com.cn)
来源:http://www.qiqi92.cn
(http://www.szqubs.cn)
用漏洞，可能得以完全入侵该系统，从而严重影响系统的机密性、完整性，以及可用性。
另一个重大层级漏洞是CVE-2024-29415，此漏洞发生在SAP Build Apps打造的应用程序，为服务器请求伪造（SSRF）漏洞，CVSS风险评为9.1。
这项漏洞涉及Node.js的IP组件缺陷，此组件用途是检查IP地址是公开或是私有，在使用8进制表示127.0.0.1的时候，会将其识别为公开且全局可路由的IP地址。
SAP指出，这项漏洞是先前另一个弱点CVE-2023-42282修补不全所致。