Vulnerability-Lookup

CVE-2024-42373 (GCVE-0-2024-42373)

Vulnerability from cvelistv5 – Published: 2024-08-13 04:53 – Updated: 2024-08-14 16:43

Title

Missing Authorization Check in SAP Student Life Cycle Management (SLcM)

Summary

SAP Student Life Cycle Management (SLcM) fails to conduct proper authorization checks for authenticated users, leading to the potential escalation of privileges. On successful exploitation it could allow an attacker to delete non-sensitive report variants that are typically restricted, causing minimal impact on the integrity of the application.

Severity

4.3 (Medium)


                        
                          CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

SSVC

Exploitation: none Automatable: no Technical Impact: partial

CISA Coordinator (v2.0.3)

CWE

CWE-862 - Missing Authorization

Assigner

sap

References

2 references

URL	Tags
https://me.sap.com/notes/3479293
https://url.sap/sapsecuritypatchday

Impacted products

1 product

Vendor	Product	Version
SAP_SE	SAP Student Life Cycle Management (SLcM)	Affected: 617 Affected: 618 Affected: 802 Affected: 803 Affected: 804 Affected: 805 Affected: 806 Affected: 807 Affected: 808

Show details on NVD website

JSON

To clipboard

{
  "containers": {
    "adp": [
      {
        "metrics": [
          {
            "other": {
              "content": {
                "id": "CVE-2024-42373",
                "options": [
                  {
                    "Exploitation": "none"
                  },
                  {
                    "Automatable": "no"
                  },
                  {
                    "Technical Impact": "partial"
                  }
                ],
                "role": "CISA Coordinator",
                "timestamp": "2024-08-14T16:43:37.656398Z",
                "version": "2.0.3"
              },
              "type": "ssvc"
            }
          }
        ],
        "providerMetadata": {
          "dateUpdated": "2024-08-14T16:43:46.761Z",
          "orgId": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
          "shortName": "CISA-ADP"
        },
        "title": "CISA ADP Vulnrichment"
      }
    ],
    "cna": {
      "affected": [
        {
          "defaultStatus": "unaffected",
          "product": "SAP Student Life Cycle Management (SLcM)",
          "vendor": "SAP_SE",
          "versions": [
            {
              "status": "affected",
              "version": "617"
            },
            {
              "status": "affected",
              "version": "618"
            },
            {
              "status": "affected",
              "version": "802"
            },
            {
              "status": "affected",
              "version": "803"
            },
            {
              "status": "affected",
              "version": "804"
            },
            {
              "status": "affected",
              "version": "805"
            },
            {
              "status": "affected",
              "version": "806"
            },
            {
              "status": "affected",
              "version": "807"
            },
            {
              "status": "affected",
              "version": "808"
            }
          ]
        }
      ],
      "descriptions": [
        {
          "lang": "en",
          "supportingMedia": [
            {
              "base64": false,
              "type": "text/html",
              "value": "\u003cspan style=\"background-color: rgb(255, 255, 255);\"\u003eSAP Student Life Cycle Management (SLcM) fails to conduct proper authorization checks for authenticated users, leading to the potential escalation of privileges. On successful exploitation it could allow an attacker to delete non-sensitive report variants that are typically restricted, causing minimal impact on the integrity of the application.\u003c/span\u003e\u003cspan style=\"background-color: rgb(255, 255, 255);\"\u003e\u0026nbsp;\u003c/span\u003e"
            }
          ],
          "value": "SAP Student Life Cycle Management (SLcM) fails to conduct proper authorization checks for authenticated users, leading to the potential escalation of privileges. On successful exploitation it could allow an attacker to delete non-sensitive report variants that are typically restricted, causing minimal impact on the integrity of the application."
        }
      ],
      "metrics": [
        {
          "cvssV3_1": {
            "attackComplexity": "LOW",
            "attackVector": "NETWORK",
            "availabilityImpact": "NONE",
            "baseScore": 4.3,
            "baseSeverity": "MEDIUM",
            "confidentialityImpact": "NONE",
            "integrityImpact": "LOW",
            "privilegesRequired": "LOW",
            "scope": "UNCHANGED",
            "userInteraction": "NONE",
            "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N",
            "version": "3.1"
          },
          "format": "CVSS",
          "scenarios": [
            {
              "lang": "en",
              "value": "GENERAL"
            }
          ]
        }
      ],
      "problemTypes": [
        {
          "descriptions": [
            {
              "cweId": "CWE-862",
              "description": "CWE-862: Missing Authorization",
              "lang": "en",
              "type": "CWE"
            }
          ]
        }
      ],
      "providerMetadata": {
        "dateUpdated": "2024-08-13T04:53:09.327Z",
        "orgId": "e4686d1a-f260-4930-ac4c-2f5c992778dd",
        "shortName": "sap"
      },
      "references": [
        {
          "url": "https://me.sap.com/notes/3479293"
        },
        {
          "url": "https://url.sap/sapsecuritypatchday"
        }
      ],
      "source": {
        "discovery": "UNKNOWN"
      },
      "title": "Missing Authorization Check in SAP Student Life Cycle Management (SLcM)",
      "x_generator": {
        "engine": "Vulnogram 0.2.0"
      }
    }
  },
  "cveMetadata": {
    "assignerOrgId": "e4686d1a-f260-4930-ac4c-2f5c992778dd",
    "assignerShortName": "sap",
    "cveId": "CVE-2024-42373",
    "datePublished": "2024-08-13T04:53:09.327Z",
    "dateReserved": "2024-07-31T04:09:36.223Z",
    "dateUpdated": "2024-08-14T16:43:46.761Z",
    "state": "PUBLISHED"
  },
  "dataType": "CVE_RECORD",
  "dataVersion": "5.1",
  "vulnerability-lookup:meta": {
    "epss": {
      "cve": "CVE-2024-42373",
      "date": "2026-06-03",
      "epss": "0.00124",
      "percentile": "0.31223"
    },
    "fkie_nvd": {
      "configurations": "[{\"nodes\": [{\"operator\": \"OR\", \"negate\": false, \"cpeMatch\": [{\"vulnerable\": true, \"criteria\": \"cpe:2.3:a:sap:student_life_cycle_management:617:*:*:*:*:*:*:*\", \"matchCriteriaId\": \"49D1564B-9F48-442C-B521-B79A982B6010\"}, {\"vulnerable\": true, \"criteria\": \"cpe:2.3:a:sap:student_life_cycle_management:618:*:*:*:*:*:*:*\", \"matchCriteriaId\": \"9630E381-1579-4D71-B49D-1079A31E3A63\"}, {\"vulnerable\": true, \"criteria\": \"cpe:2.3:a:sap:student_life_cycle_management:802:*:*:*:*:*:*:*\", \"matchCriteriaId\": \"B60BA131-5DA5-409F-806A-641A7BBB9D33\"}, {\"vulnerable\": true, \"criteria\": \"cpe:2.3:a:sap:student_life_cycle_management:803:*:*:*:*:*:*:*\", \"matchCriteriaId\": \"1CE9F776-1B68-4ABA-850E-44DB58C2F616\"}, {\"vulnerable\": true, \"criteria\": \"cpe:2.3:a:sap:student_life_cycle_management:804:*:*:*:*:*:*:*\", \"matchCriteriaId\": \"CA4A7443-E21B-4EAE-A4EC-E3B9A8908FBE\"}, {\"vulnerable\": true, \"criteria\": \"cpe:2.3:a:sap:student_life_cycle_management:805:*:*:*:*:*:*:*\", \"matchCriteriaId\": \"6025F055-0E0E-41A3-BE2D-95229710FB1D\"}, {\"vulnerable\": true, \"criteria\": \"cpe:2.3:a:sap:student_life_cycle_management:806:*:*:*:*:*:*:*\", \"matchCriteriaId\": \"8C49CAC0-C207-4BC6-AE05-65645B54011C\"}, {\"vulnerable\": true, \"criteria\": \"cpe:2.3:a:sap:student_life_cycle_management:807:*:*:*:*:*:*:*\", \"matchCriteriaId\": \"463C241E-928C-4FE8-993D-F09E6F4EEC69\"}, {\"vulnerable\": true, \"criteria\": \"cpe:2.3:a:sap:student_life_cycle_management:808:*:*:*:*:*:*:*\", \"matchCriteriaId\": \"F34FAC4C-4E0A-4E80-8276-E7DA12EC5BF3\"}]}]}]",
      "descriptions": "[{\"lang\": \"en\", \"value\": \"SAP Student Life Cycle Management (SLcM) fails to conduct proper authorization checks for authenticated users, leading to the potential escalation of privileges. On successful exploitation it could allow an attacker to delete non-sensitive report variants that are typically restricted, causing minimal impact on the integrity of the application.\"}, {\"lang\": \"es\", \"value\": \"SAP Student Life Cycle Management (SLcM) no realiza comprobaciones de autorizaci\\u00f3n adecuadas para los usuarios autenticados, lo que genera una posible escalada de privilegios. Si se explota con \\u00e9xito, podr\\u00eda permitir a un atacante eliminar variantes de informes no confidenciales que normalmente est\\u00e1n restringidas, causando un impacto m\\u00ednimo en la integridad de la aplicaci\\u00f3n.\"}]",
      "id": "CVE-2024-42373",
      "lastModified": "2024-09-12T13:26:37.753",
      "metrics": "{\"cvssMetricV31\": [{\"source\": \"cna@sap.com\", \"type\": \"Secondary\", \"cvssData\": {\"version\": \"3.1\", \"vectorString\": \"CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N\", \"baseScore\": 4.3, \"baseSeverity\": \"MEDIUM\", \"attackVector\": \"NETWORK\", \"attackComplexity\": \"LOW\", \"privilegesRequired\": \"LOW\", \"userInteraction\": \"NONE\", \"scope\": \"UNCHANGED\", \"confidentialityImpact\": \"NONE\", \"integrityImpact\": \"LOW\", \"availabilityImpact\": \"NONE\"}, \"exploitabilityScore\": 2.8, \"impactScore\": 1.4}, {\"source\": \"nvd@nist.gov\", \"type\": \"Primary\", \"cvssData\": {\"version\": \"3.1\", \"vectorString\": \"CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L\", \"baseScore\": 5.4, \"baseSeverity\": \"MEDIUM\", \"attackVector\": \"NETWORK\", \"attackComplexity\": \"LOW\", \"privilegesRequired\": \"LOW\", \"userInteraction\": \"NONE\", \"scope\": \"UNCHANGED\", \"confidentialityImpact\": \"NONE\", \"integrityImpact\": \"LOW\", \"availabilityImpact\": \"LOW\"}, \"exploitabilityScore\": 2.8, \"impactScore\": 2.5}]}",
      "published": "2024-08-13T05:15:13.800",
      "references": "[{\"url\": \"https://me.sap.com/notes/3479293\", \"source\": \"cna@sap.com\", \"tags\": [\"Permissions Required\"]}, {\"url\": \"https://url.sap/sapsecuritypatchday\", \"source\": \"cna@sap.com\", \"tags\": [\"Vendor Advisory\"]}]",
      "sourceIdentifier": "cna@sap.com",
      "vulnStatus": "Analyzed",
      "weaknesses": "[{\"source\": \"cna@sap.com\", \"type\": \"Primary\", \"description\": [{\"lang\": \"en\", \"value\": \"CWE-862\"}]}]"
    },
    "nvd": "{\"cve\":{\"id\":\"CVE-2024-42373\",\"sourceIdentifier\":\"cna@sap.com\",\"published\":\"2024-08-13T05:15:13.800\",\"lastModified\":\"2024-09-12T13:26:37.753\",\"vulnStatus\":\"Analyzed\",\"cveTags\":[],\"descriptions\":[{\"lang\":\"en\",\"value\":\"SAP Student Life Cycle Management (SLcM) fails to conduct proper authorization checks for authenticated users, leading to the potential escalation of privileges. On successful exploitation it could allow an attacker to delete non-sensitive report variants that are typically restricted, causing minimal impact on the integrity of the application.\"},{\"lang\":\"es\",\"value\":\"SAP Student Life Cycle Management (SLcM) no realiza comprobaciones de autorizaci\u00f3n adecuadas para los usuarios autenticados, lo que genera una posible escalada de privilegios. Si se explota con \u00e9xito, podr\u00eda permitir a un atacante eliminar variantes de informes no confidenciales que normalmente est\u00e1n restringidas, causando un impacto m\u00ednimo en la integridad de la aplicaci\u00f3n.\"}],\"metrics\":{\"cvssMetricV31\":[{\"source\":\"cna@sap.com\",\"type\":\"Secondary\",\"cvssData\":{\"version\":\"3.1\",\"vectorString\":\"CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N\",\"baseScore\":4.3,\"baseSeverity\":\"MEDIUM\",\"attackVector\":\"NETWORK\",\"attackComplexity\":\"LOW\",\"privilegesRequired\":\"LOW\",\"userInteraction\":\"NONE\",\"scope\":\"UNCHANGED\",\"confidentialityImpact\":\"NONE\",\"integrityImpact\":\"LOW\",\"availabilityImpact\":\"NONE\"},\"exploitabilityScore\":2.8,\"impactScore\":1.4},{\"source\":\"nvd@nist.gov\",\"type\":\"Primary\",\"cvssData\":{\"version\":\"3.1\",\"vectorString\":\"CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L\",\"baseScore\":5.4,\"baseSeverity\":\"MEDIUM\",\"attackVector\":\"NETWORK\",\"attackComplexity\":\"LOW\",\"privilegesRequired\":\"LOW\",\"userInteraction\":\"NONE\",\"scope\":\"UNCHANGED\",\"confidentialityImpact\":\"NONE\",\"integrityImpact\":\"LOW\",\"availabilityImpact\":\"LOW\"},\"exploitabilityScore\":2.8,\"impactScore\":2.5}]},\"weaknesses\":[{\"source\":\"cna@sap.com\",\"type\":\"Primary\",\"description\":[{\"lang\":\"en\",\"value\":\"CWE-862\"}]}],\"configurations\":[{\"nodes\":[{\"operator\":\"OR\",\"negate\":false,\"cpeMatch\":[{\"vulnerable\":true,\"criteria\":\"cpe:2.3:a:sap:student_life_cycle_management:617:*:*:*:*:*:*:*\",\"matchCriteriaId\":\"49D1564B-9F48-442C-B521-B79A982B6010\"},{\"vulnerable\":true,\"criteria\":\"cpe:2.3:a:sap:student_life_cycle_management:618:*:*:*:*:*:*:*\",\"matchCriteriaId\":\"9630E381-1579-4D71-B49D-1079A31E3A63\"},{\"vulnerable\":true,\"criteria\":\"cpe:2.3:a:sap:student_life_cycle_management:802:*:*:*:*:*:*:*\",\"matchCriteriaId\":\"B60BA131-5DA5-409F-806A-641A7BBB9D33\"},{\"vulnerable\":true,\"criteria\":\"cpe:2.3:a:sap:student_life_cycle_management:803:*:*:*:*:*:*:*\",\"matchCriteriaId\":\"1CE9F776-1B68-4ABA-850E-44DB58C2F616\"},{\"vulnerable\":true,\"criteria\":\"cpe:2.3:a:sap:student_life_cycle_management:804:*:*:*:*:*:*:*\",\"matchCriteriaId\":\"CA4A7443-E21B-4EAE-A4EC-E3B9A8908FBE\"},{\"vulnerable\":true,\"criteria\":\"cpe:2.3:a:sap:student_life_cycle_management:805:*:*:*:*:*:*:*\",\"matchCriteriaId\":\"6025F055-0E0E-41A3-BE2D-95229710FB1D\"},{\"vulnerable\":true,\"criteria\":\"cpe:2.3:a:sap:student_life_cycle_management:806:*:*:*:*:*:*:*\",\"matchCriteriaId\":\"8C49CAC0-C207-4BC6-AE05-65645B54011C\"},{\"vulnerable\":true,\"criteria\":\"cpe:2.3:a:sap:student_life_cycle_management:807:*:*:*:*:*:*:*\",\"matchCriteriaId\":\"463C241E-928C-4FE8-993D-F09E6F4EEC69\"},{\"vulnerable\":true,\"criteria\":\"cpe:2.3:a:sap:student_life_cycle_management:808:*:*:*:*:*:*:*\",\"matchCriteriaId\":\"F34FAC4C-4E0A-4E80-8276-E7DA12EC5BF3\"}]}]}],\"references\":[{\"url\":\"https://me.sap.com/notes/3479293\",\"source\":\"cna@sap.com\",\"tags\":[\"Permissions Required\"]},{\"url\":\"https://url.sap/sapsecuritypatchday\",\"source\":\"cna@sap.com\",\"tags\":[\"Vendor Advisory\"]}]}}",
    "vulnrichment": {
      "containers": "{\"adp\": [{\"title\": \"CISA ADP Vulnrichment\", \"metrics\": [{\"other\": {\"type\": \"ssvc\", \"content\": {\"id\": \"CVE-2024-42373\", \"role\": \"CISA Coordinator\", \"options\": [{\"Exploitation\": \"none\"}, {\"Automatable\": \"no\"}, {\"Technical Impact\": \"partial\"}], \"version\": \"2.0.3\", \"timestamp\": \"2024-08-14T16:43:37.656398Z\"}}}], \"providerMetadata\": {\"orgId\": \"134c704f-9b21-4f2e-91b3-4a467353bcc0\", \"shortName\": \"CISA-ADP\", \"dateUpdated\": \"2024-08-14T16:43:43.197Z\"}}], \"cna\": {\"title\": \"Missing Authorization Check in SAP Student Life Cycle Management (SLcM)\", \"source\": {\"discovery\": \"UNKNOWN\"}, \"metrics\": [{\"format\": \"CVSS\", \"cvssV3_1\": {\"scope\": \"UNCHANGED\", \"version\": \"3.1\", \"baseScore\": 4.3, \"attackVector\": \"NETWORK\", \"baseSeverity\": \"MEDIUM\", \"vectorString\": \"CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N\", \"integrityImpact\": \"LOW\", \"userInteraction\": \"NONE\", \"attackComplexity\": \"LOW\", \"availabilityImpact\": \"NONE\", \"privilegesRequired\": \"LOW\", \"confidentialityImpact\": \"NONE\"}, \"scenarios\": [{\"lang\": \"en\", \"value\": \"GENERAL\"}]}], \"affected\": [{\"vendor\": \"SAP_SE\", \"product\": \"SAP Student Life Cycle Management (SLcM)\", \"versions\": [{\"status\": \"affected\", \"version\": \"617\"}, {\"status\": \"affected\", \"version\": \"618\"}, {\"status\": \"affected\", \"version\": \"802\"}, {\"status\": \"affected\", \"version\": \"803\"}, {\"status\": \"affected\", \"version\": \"804\"}, {\"status\": \"affected\", \"version\": \"805\"}, {\"status\": \"affected\", \"version\": \"806\"}, {\"status\": \"affected\", \"version\": \"807\"}, {\"status\": \"affected\", \"version\": \"808\"}], \"defaultStatus\": \"unaffected\"}], \"references\": [{\"url\": \"https://me.sap.com/notes/3479293\"}, {\"url\": \"https://url.sap/sapsecuritypatchday\"}], \"x_generator\": {\"engine\": \"Vulnogram 0.2.0\"}, \"descriptions\": [{\"lang\": \"en\", \"value\": \"SAP Student Life Cycle Management (SLcM) fails to conduct proper authorization checks for authenticated users, leading to the potential escalation of privileges. On successful exploitation it could allow an attacker to delete non-sensitive report variants that are typically restricted, causing minimal impact on the integrity of the application.\", \"supportingMedia\": [{\"type\": \"text/html\", \"value\": \"\u003cspan style=\\\"background-color: rgb(255, 255, 255);\\\"\u003eSAP Student Life Cycle Management (SLcM) fails to conduct proper authorization checks for authenticated users, leading to the potential escalation of privileges. On successful exploitation it could allow an attacker to delete non-sensitive report variants that are typically restricted, causing minimal impact on the integrity of the application.\u003c/span\u003e\u003cspan style=\\\"background-color: rgb(255, 255, 255);\\\"\u003e\u0026nbsp;\u003c/span\u003e\", \"base64\": false}]}], \"problemTypes\": [{\"descriptions\": [{\"lang\": \"en\", \"type\": \"CWE\", \"cweId\": \"CWE-862\", \"description\": \"CWE-862: Missing Authorization\"}]}], \"providerMetadata\": {\"orgId\": \"e4686d1a-f260-4930-ac4c-2f5c992778dd\", \"shortName\": \"sap\", \"dateUpdated\": \"2024-08-13T04:53:09.327Z\"}}}",
      "cveMetadata": "{\"cveId\": \"CVE-2024-42373\", \"state\": \"PUBLISHED\", \"dateUpdated\": \"2024-08-14T16:43:46.761Z\", \"dateReserved\": \"2024-07-31T04:09:36.223Z\", \"assignerOrgId\": \"e4686d1a-f260-4930-ac4c-2f5c992778dd\", \"datePublished\": \"2024-08-13T04:53:09.327Z\", \"assignerShortName\": \"sap\"}",
      "dataType": "CVE_RECORD",
      "dataVersion": "5.1"
    }
  }
}

WID-SEC-W-2024-3093

Vulnerability from csaf_certbund - Published: 2024-10-07 22:00 - Updated: 2024-10-07 22:00

Summary

SAP Software: Mehrere Schwachstellen

Severity

Hoch

Notes

Das BSI ist als Anbieter für die eigenen, zur Nutzung bereitgestellten Inhalte nach den allgemeinen Gesetzen verantwortlich. Nutzerinnen und Nutzer sind jedoch dafür verantwortlich, die Verwendung und/oder die Umsetzung der mit den Inhalten bereitgestellten Informationen sorgfältig im Einzelfall zu prüfen.

Produktbeschreibung: SAP stellt unternehmensweite Lösungen für Geschäftsprozesse wie Buchführung, Vertrieb, Einkauf und Lagerhaltung zur Verfügung.

Angriff: Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in SAP Software ausnutzen, um seine Privilegien zu erweitern, beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen preiszugeben, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuführen und einen Denial-of-Service-Zustand zu erzeugen.

Betroffene Betriebssysteme: - Sonstiges - UNIX - Windows

CVE-2022-23302

Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in verschiedenen Komponenten wie NetWeaver, SAP HANA oder der BusinessObjects Business Intelligence Platform, unter anderem aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Autorisierung oder einer unsachgemäßen Eingabevalidierung. Ein entfernter, anonymer Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen preiszugeben, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuführen und einen Denial-of-Service-Zustand zu erzeugen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden.

Affected products

Known affected 1 product

Product	Identifier	Version	Remediation
SAP Software SAP	`cpe:/a:sap:sap:-`	—

CVE-2024-37179

Affected products

Known affected 1 product

Product	Identifier	Version	Remediation
SAP Software SAP	`cpe:/a:sap:sap:-`	—

CVE-2024-37180

Affected products

Known affected 1 product

Product	Identifier	Version	Remediation
SAP Software SAP	`cpe:/a:sap:sap:-`	—

CVE-2024-39592

Affected products

Known affected 1 product

Product	Identifier	Version	Remediation
SAP Software SAP	`cpe:/a:sap:sap:-`	—

CVE-2024-41729

Affected products

Known affected 1 product

Product	Identifier	Version	Remediation
SAP Software SAP	`cpe:/a:sap:sap:-`	—

CVE-2024-41730

Affected products

Known affected 1 product

Product	Identifier	Version	Remediation
SAP Software SAP	`cpe:/a:sap:sap:-`	—

CVE-2024-42373

Affected products

Known affected 1 product

Product	Identifier	Version	Remediation
SAP Software SAP	`cpe:/a:sap:sap:-`	—

CVE-2024-45277

Affected products

Known affected 1 product

Product	Identifier	Version	Remediation
SAP Software SAP	`cpe:/a:sap:sap:-`	—

CVE-2024-45278

Affected products

Known affected 1 product

Product	Identifier	Version	Remediation
SAP Software SAP	`cpe:/a:sap:sap:-`	—

CVE-2024-45282

Affected products

Known affected 1 product

Product	Identifier	Version	Remediation
SAP Software SAP	`cpe:/a:sap:sap:-`	—

CVE-2024-45283

Affected products

Known affected 1 product

Product	Identifier	Version	Remediation
SAP Software SAP	`cpe:/a:sap:sap:-`	—

CVE-2024-47594

Affected products

Known affected 1 product

Product	Identifier	Version	Remediation
SAP Software SAP	`cpe:/a:sap:sap:-`	—

References

3 references

URL	Category
https://wid.cert-bund.de/.well-known/csaf/white/2…	self
https://wid.cert-bund.de/portal/wid/securityadvis…	self
https://support.sap.com/en/my-support/knowledge-b…	external

JSON

To clipboard

{
  "document": {
    "aggregate_severity": {
      "text": "hoch"
    },
    "category": "csaf_base",
    "csaf_version": "2.0",
    "distribution": {
      "tlp": {
        "label": "WHITE",
        "url": "https://www.first.org/tlp/"
      }
    },
    "lang": "de-DE",
    "notes": [
      {
        "category": "legal_disclaimer",
        "text": "Das BSI ist als Anbieter f\u00fcr die eigenen, zur Nutzung bereitgestellten Inhalte nach den allgemeinen Gesetzen verantwortlich. Nutzerinnen und Nutzer sind jedoch daf\u00fcr verantwortlich, die Verwendung und/oder die Umsetzung der mit den Inhalten bereitgestellten Informationen sorgf\u00e4ltig im Einzelfall zu pr\u00fcfen."
      },
      {
        "category": "description",
        "text": "SAP stellt unternehmensweite L\u00f6sungen f\u00fcr Gesch\u00e4ftsprozesse wie Buchf\u00fchrung, Vertrieb, Einkauf und Lagerhaltung zur Verf\u00fcgung.",
        "title": "Produktbeschreibung"
      },
      {
        "category": "summary",
        "text": "Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in SAP Software ausnutzen, um seine Privilegien zu erweitern, beliebigen Code auszuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, vertrauliche Informationen preiszugeben, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuf\u00fchren und einen Denial-of-Service-Zustand zu erzeugen.",
        "title": "Angriff"
      },
      {
        "category": "general",
        "text": "- Sonstiges\n- UNIX\n- Windows",
        "title": "Betroffene Betriebssysteme"
      }
    ],
    "publisher": {
      "category": "other",
      "contact_details": "csaf-provider@cert-bund.de",
      "name": "Bundesamt f\u00fcr Sicherheit in der Informationstechnik",
      "namespace": "https://www.bsi.bund.de"
    },
    "references": [
      {
        "category": "self",
        "summary": "WID-SEC-W-2024-3093 - CSAF Version",
        "url": "https://wid.cert-bund.de/.well-known/csaf/white/2024/wid-sec-w-2024-3093.json"
      },
      {
        "category": "self",
        "summary": "WID-SEC-2024-3093 - Portal Version",
        "url": "https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2024-3093"
      },
      {
        "category": "external",
        "summary": "SAP Security Patch Day \u2013 October 2024 vom 2024-10-07",
        "url": "https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2024.html"
      }
    ],
    "source_lang": "en-US",
    "title": "SAP Software: Mehrere Schwachstellen",
    "tracking": {
      "current_release_date": "2024-10-07T22:00:00.000+00:00",
      "generator": {
        "date": "2024-10-08T08:11:29.115+00:00",
        "engine": {
          "name": "BSI-WID",
          "version": "1.3.8"
        }
      },
      "id": "WID-SEC-W-2024-3093",
      "initial_release_date": "2024-10-07T22:00:00.000+00:00",
      "revision_history": [
        {
          "date": "2024-10-07T22:00:00.000+00:00",
          "number": "1",
          "summary": "Initiale Fassung"
        }
      ],
      "status": "final",
      "version": "1"
    }
  },
  "product_tree": {
    "branches": [
      {
        "branches": [
          {
            "category": "product_name",
            "name": "SAP Software",
            "product": {
              "name": "SAP Software",
              "product_id": "T038023",
              "product_identification_helper": {
                "cpe": "cpe:/a:sap:sap:-"
              }
            }
          }
        ],
        "category": "vendor",
        "name": "SAP"
      }
    ]
  },
  "vulnerabilities": [
    {
      "cve": "CVE-2022-23302",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in verschiedenen Komponenten wie NetWeaver, SAP HANA oder der BusinessObjects Business Intelligence Platform, unter anderem aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Autorisierung oder einer unsachgem\u00e4\u00dfen Eingabevalidierung. Ein entfernter, anonymer Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, beliebigen Code auszuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, vertrauliche Informationen preiszugeben, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuf\u00fchren und einen Denial-of-Service-Zustand zu erzeugen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T038023"
        ]
      },
      "release_date": "2024-10-07T22:00:00.000+00:00",
      "title": "CVE-2022-23302"
    },
    {
      "cve": "CVE-2024-37179",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in verschiedenen Komponenten wie NetWeaver, SAP HANA oder der BusinessObjects Business Intelligence Platform, unter anderem aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Autorisierung oder einer unsachgem\u00e4\u00dfen Eingabevalidierung. Ein entfernter, anonymer Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, beliebigen Code auszuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, vertrauliche Informationen preiszugeben, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuf\u00fchren und einen Denial-of-Service-Zustand zu erzeugen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T038023"
        ]
      },
      "release_date": "2024-10-07T22:00:00.000+00:00",
      "title": "CVE-2024-37179"
    },
    {
      "cve": "CVE-2024-37180",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in verschiedenen Komponenten wie NetWeaver, SAP HANA oder der BusinessObjects Business Intelligence Platform, unter anderem aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Autorisierung oder einer unsachgem\u00e4\u00dfen Eingabevalidierung. Ein entfernter, anonymer Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, beliebigen Code auszuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, vertrauliche Informationen preiszugeben, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuf\u00fchren und einen Denial-of-Service-Zustand zu erzeugen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T038023"
        ]
      },
      "release_date": "2024-10-07T22:00:00.000+00:00",
      "title": "CVE-2024-37180"
    },
    {
      "cve": "CVE-2024-39592",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in verschiedenen Komponenten wie NetWeaver, SAP HANA oder der BusinessObjects Business Intelligence Platform, unter anderem aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Autorisierung oder einer unsachgem\u00e4\u00dfen Eingabevalidierung. Ein entfernter, anonymer Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, beliebigen Code auszuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, vertrauliche Informationen preiszugeben, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuf\u00fchren und einen Denial-of-Service-Zustand zu erzeugen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T038023"
        ]
      },
      "release_date": "2024-10-07T22:00:00.000+00:00",
      "title": "CVE-2024-39592"
    },
    {
      "cve": "CVE-2024-41729",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in verschiedenen Komponenten wie NetWeaver, SAP HANA oder der BusinessObjects Business Intelligence Platform, unter anderem aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Autorisierung oder einer unsachgem\u00e4\u00dfen Eingabevalidierung. Ein entfernter, anonymer Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, beliebigen Code auszuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, vertrauliche Informationen preiszugeben, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuf\u00fchren und einen Denial-of-Service-Zustand zu erzeugen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T038023"
        ]
      },
      "release_date": "2024-10-07T22:00:00.000+00:00",
      "title": "CVE-2024-41729"
    },
    {
      "cve": "CVE-2024-41730",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in verschiedenen Komponenten wie NetWeaver, SAP HANA oder der BusinessObjects Business Intelligence Platform, unter anderem aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Autorisierung oder einer unsachgem\u00e4\u00dfen Eingabevalidierung. Ein entfernter, anonymer Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, beliebigen Code auszuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, vertrauliche Informationen preiszugeben, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuf\u00fchren und einen Denial-of-Service-Zustand zu erzeugen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T038023"
        ]
      },
      "release_date": "2024-10-07T22:00:00.000+00:00",
      "title": "CVE-2024-41730"
    },
    {
      "cve": "CVE-2024-42373",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in verschiedenen Komponenten wie NetWeaver, SAP HANA oder der BusinessObjects Business Intelligence Platform, unter anderem aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Autorisierung oder einer unsachgem\u00e4\u00dfen Eingabevalidierung. Ein entfernter, anonymer Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, beliebigen Code auszuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, vertrauliche Informationen preiszugeben, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuf\u00fchren und einen Denial-of-Service-Zustand zu erzeugen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T038023"
        ]
      },
      "release_date": "2024-10-07T22:00:00.000+00:00",
      "title": "CVE-2024-42373"
    },
    {
      "cve": "CVE-2024-45277",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in verschiedenen Komponenten wie NetWeaver, SAP HANA oder der BusinessObjects Business Intelligence Platform, unter anderem aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Autorisierung oder einer unsachgem\u00e4\u00dfen Eingabevalidierung. Ein entfernter, anonymer Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, beliebigen Code auszuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, vertrauliche Informationen preiszugeben, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuf\u00fchren und einen Denial-of-Service-Zustand zu erzeugen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T038023"
        ]
      },
      "release_date": "2024-10-07T22:00:00.000+00:00",
      "title": "CVE-2024-45277"
    },
    {
      "cve": "CVE-2024-45278",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in verschiedenen Komponenten wie NetWeaver, SAP HANA oder der BusinessObjects Business Intelligence Platform, unter anderem aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Autorisierung oder einer unsachgem\u00e4\u00dfen Eingabevalidierung. Ein entfernter, anonymer Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, beliebigen Code auszuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, vertrauliche Informationen preiszugeben, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuf\u00fchren und einen Denial-of-Service-Zustand zu erzeugen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T038023"
        ]
      },
      "release_date": "2024-10-07T22:00:00.000+00:00",
      "title": "CVE-2024-45278"
    },
    {
      "cve": "CVE-2024-45282",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in verschiedenen Komponenten wie NetWeaver, SAP HANA oder der BusinessObjects Business Intelligence Platform, unter anderem aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Autorisierung oder einer unsachgem\u00e4\u00dfen Eingabevalidierung. Ein entfernter, anonymer Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, beliebigen Code auszuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, vertrauliche Informationen preiszugeben, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuf\u00fchren und einen Denial-of-Service-Zustand zu erzeugen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T038023"
        ]
      },
      "release_date": "2024-10-07T22:00:00.000+00:00",
      "title": "CVE-2024-45282"
    },
    {
      "cve": "CVE-2024-45283",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in verschiedenen Komponenten wie NetWeaver, SAP HANA oder der BusinessObjects Business Intelligence Platform, unter anderem aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Autorisierung oder einer unsachgem\u00e4\u00dfen Eingabevalidierung. Ein entfernter, anonymer Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, beliebigen Code auszuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, vertrauliche Informationen preiszugeben, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuf\u00fchren und einen Denial-of-Service-Zustand zu erzeugen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T038023"
        ]
      },
      "release_date": "2024-10-07T22:00:00.000+00:00",
      "title": "CVE-2024-45283"
    },
    {
      "cve": "CVE-2024-47594",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in verschiedenen Komponenten wie NetWeaver, SAP HANA oder der BusinessObjects Business Intelligence Platform, unter anderem aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Autorisierung oder einer unsachgem\u00e4\u00dfen Eingabevalidierung. Ein entfernter, anonymer Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, beliebigen Code auszuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, vertrauliche Informationen preiszugeben, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuf\u00fchren und einen Denial-of-Service-Zustand zu erzeugen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T038023"
        ]
      },
      "release_date": "2024-10-07T22:00:00.000+00:00",
      "title": "CVE-2024-47594"
    }
  ]
}

Sightings

Author	Source	Type	Date	Other

Nomenclature

Seen: The vulnerability was mentioned, discussed, or observed by the user.
Confirmed: The vulnerability has been validated from an analyst's perspective.
Published Proof of Concept: A public proof of concept is available for this vulnerability.
Exploited: The vulnerability was observed as exploited by the user who reported the sighting.
Patched: The vulnerability was observed as successfully patched by the user who reported the sighting.
Not exploited: The vulnerability was not observed as exploited by the user who reported the sighting.
Not confirmed: The user expressed doubt about the validity of the vulnerability.
Not patched: The vulnerability was not observed as successfully patched by the user who reported the sighting.

Detection rules are retrieved from Rulezet.

Action not permitted

CVE-2024-42373 (GCVE-0-2024-42373)

WID-SEC-W-2024-3093

Tags

Sightings

Nomenclature