{
  "cveTags": [],
  "descriptions": [
    {
      "lang": "en",
      "value": "The ABAP Application Server of SAP NetWeaver as well as ABAP Platform\u00a0allows an attacker to prevent legitimate users from accessing a service, either by crashing or flooding the service. This leads to a considerable impact on availability."
    },
    {
      "lang": "es",
      "value": "El servidor de aplicaciones ABAP de SAP NetWeaver, as\u00ed como la plataforma ABAP, permiten a un atacante impedir que usuarios leg\u00edtimos accedan a un servicio, ya sea bloqueando o inundando el servicio. Esto tiene un impacto considerable en la disponibilidad."
    }
  ],
  "id": "CVE-2024-30218",
  "lastModified": "2024-11-21T09:11:28.190",
  "metrics": {
    "cvssMetricV31": [
      {
        "cvssData": {
          "attackComplexity": "LOW",
          "attackVector": "NETWORK",
          "availabilityImpact": "HIGH",
          "baseScore": 6.5,
          "baseSeverity": "MEDIUM",
          "confidentialityImpact": "NONE",
          "integrityImpact": "NONE",
          "privilegesRequired": "LOW",
          "scope": "UNCHANGED",
          "userInteraction": "NONE",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H",
          "version": "3.1"
        },
        "exploitabilityScore": 2.8,
        "impactScore": 3.6,
        "source": "cna@sap.com",
        "type": "Secondary"
      }
    ]
  },
  "published": "2024-04-09T01:15:50.570",
  "references": [
    {
      "source": "cna@sap.com",
      "url": "https://me.sap.com/notes/3359778"
    },
    {
      "source": "cna@sap.com",
      "url": "https://support.sap.com/en/my-support/knowledge-base/security-notes-news.html?anchorId=section_370125364"
    },
    {
      "source": "af854a3a-2127-422b-91ae-364da2661108",
      "url": "https://me.sap.com/notes/3359778"
    },
    {
      "source": "af854a3a-2127-422b-91ae-364da2661108",
      "url": "https://support.sap.com/en/my-support/knowledge-base/security-notes-news.html?anchorId=section_370125364"
    }
  ],
  "sourceIdentifier": "cna@sap.com",
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "description": [
        {
          "lang": "en",
          "value": "CWE-605"
        }
      ],
      "source": "cna@sap.com",
      "type": "Secondary"
    }
  ]
}

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Business Connector version 4.8 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "S/4 HANA (Manage Catalog Items and Cross-Catalog search) versions S4CORE 103, S4CORE 104, S4CORE 105 et S4CORE 106 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "NetWeaver version 7.50 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "NetWeaver AS ABAP and ABAP Platform versions KRNL64NUC 7.22, KRNL64NUC 7.22EXT, KRNL64UC 7.22, KRNL64UC 7.22EXT, KRNL64UC 7.53, KERNEL 7.22, KERNEL 7.53, KERNEL 7.77, KERNEL 7.85, KERNEL 7.89, KERNEL 7.54 et KERNEL 7.93 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "S/4 HANA (Cash Management) versions S4CORE 103, S4CORE 104, S4CORE 105, S4CORE 106, S4CORE 107 et S4CORE 108 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "Employee Self Service (Fiori My Leave Request) version 605 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "NetWeaver AS Java User Management Engine versions SERVERCORE 7.50, J2EE-APPS 7.50 et UMEADMIN 7.50 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "Group Reporting Data Collection (Enter Package Data) versions S4CORE 104, S4CORE 105, S4CORE 106, S4CORE 107, S4CORE 108 et SAP_GRDC_CLOUD 1.0.0 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "BusinessObjects Web Intelligence versions 4.2 et 4.3 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "Edge Integration Cell versions ant\u00e9rieures \u00e0 8.13.5",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "Asset Accounting versions SAP_APPL 600, SAP_APPL 600, SAP_APPL 600, SAP_APPL 600, SAP_APPL 600, SAP_APPL 600, SAP_FIN617, SAP_FIN 618 et SAP_FIN700 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": null,
  "content": "## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation).\n",
  "cves": [
    {
      "name": "CVE-2024-30216",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-30216"
    },
    {
      "name": "CVE-2024-30214",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-30214"
    },
    {
      "name": "CVE-2024-28167",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-28167"
    },
    {
      "name": "CVE-2024-30218",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-30218"
    },
    {
      "name": "CVE-2024-30217",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-30217"
    },
    {
      "name": "CVE-2024-27898",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-27898"
    },
    {
      "name": "CVE-2024-27899",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-27899"
    },
    {
      "name": "CVE-2024-30215",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-30215"
    },
    {
      "name": "CVE-2022-29613",
      "url": "https://www.cve.org/CVERecord?id=CVE-2022-29613"
    },
    {
      "name": "CVE-2024-25646",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-25646"
    },
    {
      "name": "CVE-2024-27901",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-27901"
    }
  ],
  "links": [],
  "reference": "CERTFR-2024-AVI-0283",
  "revisions": [
    {
      "description": "Version initiale",
      "revision_date": "2024-04-09T00:00:00.000000"
    },
    {
      "description": "Ajout de la vuln\u00e9rabilit\u00e9 CVE-2022-29613",
      "revision_date": "2024-04-12T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "D\u00e9ni de service \u00e0 distance"
    },
    {
      "description": "Injection de code indirecte \u00e0 distance (XSS)"
    },
    {
      "description": "Non sp\u00e9cifi\u00e9 par l\u0027\u00e9diteur"
    },
    {
      "description": "Atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es"
    },
    {
      "description": "\u00c9l\u00e9vation de privil\u00e8ges"
    }
  ],
  "summary": "De multiples vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 d\u00e9couvertes dans \u003cspan\nclass=\"textit\"\u003eles produits SAP\u003c/span\u003e. Certaines d\u0027entre elles\npermettent \u00e0 un attaquant de provoquer un d\u00e9ni de service \u00e0 distance,\nune atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es et une injection de code\nindirecte \u00e0 distance (XSS).\n",
  "title": "Multiples vuln\u00e9rabilit\u00e9s dans les produits SAP",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletin de s\u00e9curit\u00e9 SAP du 09 avril 2024",
      "url": "https://support.sap.com/en/my-support/knowledge-base/security-notes-news/april-2024.html"
    }
  ]
}

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Business Connector version 4.8 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "S/4 HANA (Manage Catalog Items and Cross-Catalog search) versions S4CORE 103, S4CORE 104, S4CORE 105 et S4CORE 106 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "NetWeaver version 7.50 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "NetWeaver AS ABAP and ABAP Platform versions KRNL64NUC 7.22, KRNL64NUC 7.22EXT, KRNL64UC 7.22, KRNL64UC 7.22EXT, KRNL64UC 7.53, KERNEL 7.22, KERNEL 7.53, KERNEL 7.77, KERNEL 7.85, KERNEL 7.89, KERNEL 7.54 et KERNEL 7.93 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "S/4 HANA (Cash Management) versions S4CORE 103, S4CORE 104, S4CORE 105, S4CORE 106, S4CORE 107 et S4CORE 108 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "Employee Self Service (Fiori My Leave Request) version 605 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "NetWeaver AS Java User Management Engine versions SERVERCORE 7.50, J2EE-APPS 7.50 et UMEADMIN 7.50 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "Group Reporting Data Collection (Enter Package Data) versions S4CORE 104, S4CORE 105, S4CORE 106, S4CORE 107, S4CORE 108 et SAP_GRDC_CLOUD 1.0.0 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "BusinessObjects Web Intelligence versions 4.2 et 4.3 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "Edge Integration Cell versions ant\u00e9rieures \u00e0 8.13.5",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    },
    {
      "description": "Asset Accounting versions SAP_APPL 600, SAP_APPL 600, SAP_APPL 600, SAP_APPL 600, SAP_APPL 600, SAP_APPL 600, SAP_FIN617, SAP_FIN 618 et SAP_FIN700 sans le dernier correctif de s\u00e9curit\u00e9",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "SAP",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": null,
  "content": "## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation).\n",
  "cves": [
    {
      "name": "CVE-2024-30216",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-30216"
    },
    {
      "name": "CVE-2024-30214",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-30214"
    },
    {
      "name": "CVE-2024-28167",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-28167"
    },
    {
      "name": "CVE-2024-30218",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-30218"
    },
    {
      "name": "CVE-2024-30217",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-30217"
    },
    {
      "name": "CVE-2024-27898",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-27898"
    },
    {
      "name": "CVE-2024-27899",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-27899"
    },
    {
      "name": "CVE-2024-30215",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-30215"
    },
    {
      "name": "CVE-2022-29613",
      "url": "https://www.cve.org/CVERecord?id=CVE-2022-29613"
    },
    {
      "name": "CVE-2024-25646",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-25646"
    },
    {
      "name": "CVE-2024-27901",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-27901"
    }
  ],
  "links": [],
  "reference": "CERTFR-2024-AVI-0283",
  "revisions": [
    {
      "description": "Version initiale",
      "revision_date": "2024-04-09T00:00:00.000000"
    },
    {
      "description": "Ajout de la vuln\u00e9rabilit\u00e9 CVE-2022-29613",
      "revision_date": "2024-04-12T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "D\u00e9ni de service \u00e0 distance"
    },
    {
      "description": "Injection de code indirecte \u00e0 distance (XSS)"
    },
    {
      "description": "Non sp\u00e9cifi\u00e9 par l\u0027\u00e9diteur"
    },
    {
      "description": "Atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es"
    },
    {
      "description": "\u00c9l\u00e9vation de privil\u00e8ges"
    }
  ],
  "summary": "De multiples vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 d\u00e9couvertes dans \u003cspan\nclass=\"textit\"\u003eles produits SAP\u003c/span\u003e. Certaines d\u0027entre elles\npermettent \u00e0 un attaquant de provoquer un d\u00e9ni de service \u00e0 distance,\nune atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es et une injection de code\nindirecte \u00e0 distance (XSS).\n",
  "title": "Multiples vuln\u00e9rabilit\u00e9s dans les produits SAP",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletin de s\u00e9curit\u00e9 SAP du 09 avril 2024",
      "url": "https://support.sap.com/en/my-support/knowledge-base/security-notes-news/april-2024.html"
    }
  ]
}

{
  "affected": [],
  "aliases": [
    "CVE-2024-30218"
  ],
  "database_specific": {
    "cwe_ids": [
      "CWE-400",
      "CWE-605"
    ],
    "github_reviewed": false,
    "github_reviewed_at": null,
    "nvd_published_at": "2024-04-09T01:15:50Z",
    "severity": "MODERATE"
  },
  "details": "The ABAP Application Server of SAP NetWeaver as well as ABAP Platform\u00a0allows an attacker to prevent legitimate users from accessing a service, either by crashing or flooding the service. This leads to a considerable impact on availability.\n\n",
  "id": "GHSA-f3g2-hmgr-q2mj",
  "modified": "2024-09-29T00:30:57Z",
  "published": "2024-04-09T03:30:53Z",
  "references": [
    {
      "type": "ADVISORY",
      "url": "https://nvd.nist.gov/vuln/detail/CVE-2024-30218"
    },
    {
      "type": "WEB",
      "url": "https://me.sap.com/notes/3359778"
    },
    {
      "type": "WEB",
      "url": "https://support.sap.com/en/my-support/knowledge-base/security-notes-news.html?anchorId=section_370125364"
    }
  ],
  "schema_version": "1.4.0",
  "severity": [
    {
      "score": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H",
      "type": "CVSS_V3"
    }
  ]
}

{
  "gsd": {
    "metadata": {
      "exploitCode": "unknown",
      "remediation": "unknown",
      "reportConfidence": "confirmed",
      "type": "vulnerability"
    },
    "osvSchema": {
      "aliases": [
        "CVE-2024-30218"
      ],
      "details": "The ABAP Application Server of SAP NetWeaver as well as ABAP Platform\u00a0allows an attacker to prevent legitimate users from accessing a service, either by crashing or flooding the service. This leads to a considerable impact on availability.\n\n",
      "id": "GSD-2024-30218",
      "modified": "2024-04-03T05:02:29.127547Z",
      "schema_version": "1.4.0"
    }
  },
  "namespaces": {
    "cve.org": {
      "CVE_data_meta": {
        "ASSIGNER": "cna@sap.com",
        "ID": "CVE-2024-30218",
        "STATE": "PUBLIC"
      },
      "affects": {
        "vendor": {
          "vendor_data": [
            {
              "product": {
                "product_data": [
                  {
                    "product_name": "SAP NetWeaver AS ABAP and ABAP Platform",
                    "version": {
                      "version_data": [
                        {
                          "version_affected": "=",
                          "version_value": "KRNL64NUC 7.22"
                        },
                        {
                          "version_affected": "=",
                          "version_value": "KRNL64NUC 7.22EXT"
                        },
                        {
                          "version_affected": "=",
                          "version_value": "KRNL64UC 7.22"
                        },
                        {
                          "version_affected": "=",
                          "version_value": "KRNL64UC 7.22EXT"
                        },
                        {
                          "version_affected": "=",
                          "version_value": "KRNL64UC 7.53"
                        },
                        {
                          "version_affected": "=",
                          "version_value": "KERNEL 7.22"
                        },
                        {
                          "version_affected": "=",
                          "version_value": "KERNEL 7.53"
                        },
                        {
                          "version_affected": "=",
                          "version_value": "KERNEL 7.77"
                        },
                        {
                          "version_affected": "=",
                          "version_value": "KERNEL 7.85"
                        },
                        {
                          "version_affected": "=",
                          "version_value": "KERNEL 7.89"
                        },
                        {
                          "version_affected": "=",
                          "version_value": "KERNEL 7.54"
                        },
                        {
                          "version_affected": "=",
                          "version_value": "KERNEL 7.93"
                        }
                      ]
                    }
                  }
                ]
              },
              "vendor_name": "SAP_SE"
            }
          ]
        }
      },
      "data_format": "MITRE",
      "data_type": "CVE",
      "data_version": "4.0",
      "description": {
        "description_data": [
          {
            "lang": "eng",
            "value": "The ABAP Application Server of SAP NetWeaver as well as ABAP Platform\u00a0allows an attacker to prevent legitimate users from accessing a service, either by crashing or flooding the service. This leads to a considerable impact on availability.\n\n"
          }
        ]
      },
      "generator": {
        "engine": "Vulnogram 0.1.0-dev"
      },
      "impact": {
        "cvss": [
          {
            "attackComplexity": "LOW",
            "attackVector": "NETWORK",
            "availabilityImpact": "HIGH",
            "baseScore": 6.5,
            "baseSeverity": "MEDIUM",
            "confidentialityImpact": "NONE",
            "integrityImpact": "NONE",
            "privilegesRequired": "LOW",
            "scope": "UNCHANGED",
            "userInteraction": "NONE",
            "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H",
            "version": "3.1"
          }
        ]
      },
      "problemtype": {
        "problemtype_data": [
          {
            "description": [
              {
                "cweId": "CWE-400",
                "lang": "eng",
                "value": "CWE-400: Uncontrolled Resource Consumption"
              }
            ]
          }
        ]
      },
      "references": {
        "reference_data": [
          {
            "name": "https://me.sap.com/notes/3359778",
            "refsource": "MISC",
            "url": "https://me.sap.com/notes/3359778"
          },
          {
            "name": "https://support.sap.com/en/my-support/knowledge-base/security-notes-news.html?anchorId=section_370125364",
            "refsource": "MISC",
            "url": "https://support.sap.com/en/my-support/knowledge-base/security-notes-news.html?anchorId=section_370125364"
          }
        ]
      },
      "source": {
        "discovery": "UNKNOWN"
      }
    },
    "nvd.nist.gov": {
      "cve": {
        "descriptions": [
          {
            "lang": "en",
            "value": "The ABAP Application Server of SAP NetWeaver as well as ABAP Platform\u00a0allows an attacker to prevent legitimate users from accessing a service, either by crashing or flooding the service. This leads to a considerable impact on availability.\n\n"
          },
          {
            "lang": "es",
            "value": "El servidor de aplicaciones ABAP de SAP NetWeaver, as\u00ed como la plataforma ABAP, permiten a un atacante impedir que usuarios leg\u00edtimos accedan a un servicio, ya sea bloqueando o inundando el servicio. Esto tiene un impacto considerable en la disponibilidad."
          }
        ],
        "id": "CVE-2024-30218",
        "lastModified": "2024-04-09T12:48:04.090",
        "metrics": {
          "cvssMetricV31": [
            {
              "cvssData": {
                "attackComplexity": "LOW",
                "attackVector": "NETWORK",
                "availabilityImpact": "HIGH",
                "baseScore": 6.5,
                "baseSeverity": "MEDIUM",
                "confidentialityImpact": "NONE",
                "integrityImpact": "NONE",
                "privilegesRequired": "LOW",
                "scope": "UNCHANGED",
                "userInteraction": "NONE",
                "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H",
                "version": "3.1"
              },
              "exploitabilityScore": 2.8,
              "impactScore": 3.6,
              "source": "cna@sap.com",
              "type": "Secondary"
            }
          ]
        },
        "published": "2024-04-09T01:15:50.570",
        "references": [
          {
            "source": "cna@sap.com",
            "url": "https://me.sap.com/notes/3359778"
          },
          {
            "source": "cna@sap.com",
            "url": "https://support.sap.com/en/my-support/knowledge-base/security-notes-news.html?anchorId=section_370125364"
          }
        ],
        "sourceIdentifier": "cna@sap.com",
        "vulnStatus": "Awaiting Analysis",
        "weaknesses": [
          {
            "description": [
              {
                "lang": "en",
                "value": "CWE-400"
              }
            ],
            "source": "cna@sap.com",
            "type": "Primary"
          }
        ]
      }
    }
  }
}

{
  "document": {
    "aggregate_severity": {
      "text": "hoch"
    },
    "category": "csaf_base",
    "csaf_version": "2.0",
    "distribution": {
      "tlp": {
        "label": "WHITE",
        "url": "https://www.first.org/tlp/"
      }
    },
    "lang": "de-DE",
    "notes": [
      {
        "category": "legal_disclaimer",
        "text": "Das BSI ist als Anbieter f\u00fcr die eigenen, zur Nutzung bereitgestellten Inhalte nach den allgemeinen Gesetzen verantwortlich. Nutzerinnen und Nutzer sind jedoch daf\u00fcr verantwortlich, die Verwendung und/oder die Umsetzung der mit den Inhalten bereitgestellten Informationen sorgf\u00e4ltig im Einzelfall zu pr\u00fcfen."
      },
      {
        "category": "description",
        "text": "SAP stellt unternehmensweite L\u00f6sungen f\u00fcr Gesch\u00e4ftsprozesse wie Buchf\u00fchrung, Vertrieb, Einkauf und Lagerhaltung zur Verf\u00fcgung.",
        "title": "Produktbeschreibung"
      },
      {
        "category": "summary",
        "text": "Ein anonymer oder authentifizierter Angreifer kann mehrere Schwachstellen in der SAP-Software ausnutzen, um seine Privilegien zu erweitern, Cross-Site-Scripting (XSS)-Angriffe durchzuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, einen Denial-of-Service-Zustand zu verursachen oder vertrauliche Informationen offenzulegen.",
        "title": "Angriff"
      },
      {
        "category": "general",
        "text": "- Linux\n- Sonstiges\n- Windows",
        "title": "Betroffene Betriebssysteme"
      }
    ],
    "publisher": {
      "category": "other",
      "contact_details": "csaf-provider@cert-bund.de",
      "name": "Bundesamt f\u00fcr Sicherheit in der Informationstechnik",
      "namespace": "https://www.bsi.bund.de"
    },
    "references": [
      {
        "category": "self",
        "summary": "WID-SEC-W-2024-0811 - CSAF Version",
        "url": "https://wid.cert-bund.de/.well-known/csaf/white/2024/wid-sec-w-2024-0811.json"
      },
      {
        "category": "self",
        "summary": "WID-SEC-2024-0811 - Portal Version",
        "url": "https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2024-0811"
      },
      {
        "category": "external",
        "summary": "SAP Security Patch Day \u2013 April 2024 vom 2024-04-08",
        "url": "https://support.sap.com/en/my-support/knowledge-base/security-notes-news/april-2024.html"
      }
    ],
    "source_lang": "en-US",
    "title": "SAP Patch Day April 2024: Mehrere Schwachstellen",
    "tracking": {
      "current_release_date": "2024-04-08T22:00:00.000+00:00",
      "generator": {
        "date": "2024-08-15T18:07:23.878+00:00",
        "engine": {
          "name": "BSI-WID",
          "version": "1.3.5"
        }
      },
      "id": "WID-SEC-W-2024-0811",
      "initial_release_date": "2024-04-08T22:00:00.000+00:00",
      "revision_history": [
        {
          "date": "2024-04-08T22:00:00.000+00:00",
          "number": "1",
          "summary": "Initiale Fassung"
        }
      ],
      "status": "final",
      "version": "1"
    }
  },
  "product_tree": {
    "branches": [
      {
        "branches": [
          {
            "category": "product_name",
            "name": "SAP Software",
            "product": {
              "name": "SAP Software",
              "product_id": "T033957",
              "product_identification_helper": {
                "cpe": "cpe:/a:sap:sap:-"
              }
            }
          }
        ],
        "category": "vendor",
        "name": "SAP"
      }
    ]
  },
  "vulnerabilities": [
    {
      "cve": "CVE-2022-29613",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in der NetWeaver AS Java User Management Engine, der BusinessObjects Web Intelligence, der Anlagenbuchhaltung, der Edge Integration Cell, dem NetWeaver AS ABAP und der ABAP-Plattform, der Group Reporting Data Collection (Paketdaten eingeben), dem Employee Self Service, dem S/4HANA, den Business Connector Plugins und Komponenten aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Berechtigungspr\u00fcfung, einer unzureichenden Eingabevalidierung oder einer unzureichenden URL-Validierung und anderen. Ein anonymer oder authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, Cross-Site-Scripting (XSS)-Angriffe durchzuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, einen Denial-of-Service-Zustand zu verursachen oder vertrauliche Informationen offenzulegen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T033957"
        ]
      },
      "release_date": "2024-04-08T22:00:00.000+00:00",
      "title": "CVE-2022-29613"
    },
    {
      "cve": "CVE-2023-40306",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in der NetWeaver AS Java User Management Engine, der BusinessObjects Web Intelligence, der Anlagenbuchhaltung, der Edge Integration Cell, dem NetWeaver AS ABAP und der ABAP-Plattform, der Group Reporting Data Collection (Paketdaten eingeben), dem Employee Self Service, dem S/4HANA, den Business Connector Plugins und Komponenten aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Berechtigungspr\u00fcfung, einer unzureichenden Eingabevalidierung oder einer unzureichenden URL-Validierung und anderen. Ein anonymer oder authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, Cross-Site-Scripting (XSS)-Angriffe durchzuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, einen Denial-of-Service-Zustand zu verursachen oder vertrauliche Informationen offenzulegen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T033957"
        ]
      },
      "release_date": "2024-04-08T22:00:00.000+00:00",
      "title": "CVE-2023-40306"
    },
    {
      "cve": "CVE-2024-25646",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in der NetWeaver AS Java User Management Engine, der BusinessObjects Web Intelligence, der Anlagenbuchhaltung, der Edge Integration Cell, dem NetWeaver AS ABAP und der ABAP-Plattform, der Group Reporting Data Collection (Paketdaten eingeben), dem Employee Self Service, dem S/4HANA, den Business Connector Plugins und Komponenten aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Berechtigungspr\u00fcfung, einer unzureichenden Eingabevalidierung oder einer unzureichenden URL-Validierung und anderen. Ein anonymer oder authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, Cross-Site-Scripting (XSS)-Angriffe durchzuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, einen Denial-of-Service-Zustand zu verursachen oder vertrauliche Informationen offenzulegen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T033957"
        ]
      },
      "release_date": "2024-04-08T22:00:00.000+00:00",
      "title": "CVE-2024-25646"
    },
    {
      "cve": "CVE-2024-27898",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in der NetWeaver AS Java User Management Engine, der BusinessObjects Web Intelligence, der Anlagenbuchhaltung, der Edge Integration Cell, dem NetWeaver AS ABAP und der ABAP-Plattform, der Group Reporting Data Collection (Paketdaten eingeben), dem Employee Self Service, dem S/4HANA, den Business Connector Plugins und Komponenten aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Berechtigungspr\u00fcfung, einer unzureichenden Eingabevalidierung oder einer unzureichenden URL-Validierung und anderen. Ein anonymer oder authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, Cross-Site-Scripting (XSS)-Angriffe durchzuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, einen Denial-of-Service-Zustand zu verursachen oder vertrauliche Informationen offenzulegen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T033957"
        ]
      },
      "release_date": "2024-04-08T22:00:00.000+00:00",
      "title": "CVE-2024-27898"
    },
    {
      "cve": "CVE-2024-27899",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in der NetWeaver AS Java User Management Engine, der BusinessObjects Web Intelligence, der Anlagenbuchhaltung, der Edge Integration Cell, dem NetWeaver AS ABAP und der ABAP-Plattform, der Group Reporting Data Collection (Paketdaten eingeben), dem Employee Self Service, dem S/4HANA, den Business Connector Plugins und Komponenten aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Berechtigungspr\u00fcfung, einer unzureichenden Eingabevalidierung oder einer unzureichenden URL-Validierung und anderen. Ein anonymer oder authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, Cross-Site-Scripting (XSS)-Angriffe durchzuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, einen Denial-of-Service-Zustand zu verursachen oder vertrauliche Informationen offenzulegen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T033957"
        ]
      },
      "release_date": "2024-04-08T22:00:00.000+00:00",
      "title": "CVE-2024-27899"
    },
    {
      "cve": "CVE-2024-27901",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in der NetWeaver AS Java User Management Engine, der BusinessObjects Web Intelligence, der Anlagenbuchhaltung, der Edge Integration Cell, dem NetWeaver AS ABAP und der ABAP-Plattform, der Group Reporting Data Collection (Paketdaten eingeben), dem Employee Self Service, dem S/4HANA, den Business Connector Plugins und Komponenten aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Berechtigungspr\u00fcfung, einer unzureichenden Eingabevalidierung oder einer unzureichenden URL-Validierung und anderen. Ein anonymer oder authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, Cross-Site-Scripting (XSS)-Angriffe durchzuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, einen Denial-of-Service-Zustand zu verursachen oder vertrauliche Informationen offenzulegen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T033957"
        ]
      },
      "release_date": "2024-04-08T22:00:00.000+00:00",
      "title": "CVE-2024-27901"
    },
    {
      "cve": "CVE-2024-28167",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in der NetWeaver AS Java User Management Engine, der BusinessObjects Web Intelligence, der Anlagenbuchhaltung, der Edge Integration Cell, dem NetWeaver AS ABAP und der ABAP-Plattform, der Group Reporting Data Collection (Paketdaten eingeben), dem Employee Self Service, dem S/4HANA, den Business Connector Plugins und Komponenten aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Berechtigungspr\u00fcfung, einer unzureichenden Eingabevalidierung oder einer unzureichenden URL-Validierung und anderen. Ein anonymer oder authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, Cross-Site-Scripting (XSS)-Angriffe durchzuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, einen Denial-of-Service-Zustand zu verursachen oder vertrauliche Informationen offenzulegen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T033957"
        ]
      },
      "release_date": "2024-04-08T22:00:00.000+00:00",
      "title": "CVE-2024-28167"
    },
    {
      "cve": "CVE-2024-30214",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in der NetWeaver AS Java User Management Engine, der BusinessObjects Web Intelligence, der Anlagenbuchhaltung, der Edge Integration Cell, dem NetWeaver AS ABAP und der ABAP-Plattform, der Group Reporting Data Collection (Paketdaten eingeben), dem Employee Self Service, dem S/4HANA, den Business Connector Plugins und Komponenten aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Berechtigungspr\u00fcfung, einer unzureichenden Eingabevalidierung oder einer unzureichenden URL-Validierung und anderen. Ein anonymer oder authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, Cross-Site-Scripting (XSS)-Angriffe durchzuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, einen Denial-of-Service-Zustand zu verursachen oder vertrauliche Informationen offenzulegen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T033957"
        ]
      },
      "release_date": "2024-04-08T22:00:00.000+00:00",
      "title": "CVE-2024-30214"
    },
    {
      "cve": "CVE-2024-30215",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in der NetWeaver AS Java User Management Engine, der BusinessObjects Web Intelligence, der Anlagenbuchhaltung, der Edge Integration Cell, dem NetWeaver AS ABAP und der ABAP-Plattform, der Group Reporting Data Collection (Paketdaten eingeben), dem Employee Self Service, dem S/4HANA, den Business Connector Plugins und Komponenten aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Berechtigungspr\u00fcfung, einer unzureichenden Eingabevalidierung oder einer unzureichenden URL-Validierung und anderen. Ein anonymer oder authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, Cross-Site-Scripting (XSS)-Angriffe durchzuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, einen Denial-of-Service-Zustand zu verursachen oder vertrauliche Informationen offenzulegen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T033957"
        ]
      },
      "release_date": "2024-04-08T22:00:00.000+00:00",
      "title": "CVE-2024-30215"
    },
    {
      "cve": "CVE-2024-30216",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in der NetWeaver AS Java User Management Engine, der BusinessObjects Web Intelligence, der Anlagenbuchhaltung, der Edge Integration Cell, dem NetWeaver AS ABAP und der ABAP-Plattform, der Group Reporting Data Collection (Paketdaten eingeben), dem Employee Self Service, dem S/4HANA, den Business Connector Plugins und Komponenten aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Berechtigungspr\u00fcfung, einer unzureichenden Eingabevalidierung oder einer unzureichenden URL-Validierung und anderen. Ein anonymer oder authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, Cross-Site-Scripting (XSS)-Angriffe durchzuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, einen Denial-of-Service-Zustand zu verursachen oder vertrauliche Informationen offenzulegen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T033957"
        ]
      },
      "release_date": "2024-04-08T22:00:00.000+00:00",
      "title": "CVE-2024-30216"
    },
    {
      "cve": "CVE-2024-30217",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in der NetWeaver AS Java User Management Engine, der BusinessObjects Web Intelligence, der Anlagenbuchhaltung, der Edge Integration Cell, dem NetWeaver AS ABAP und der ABAP-Plattform, der Group Reporting Data Collection (Paketdaten eingeben), dem Employee Self Service, dem S/4HANA, den Business Connector Plugins und Komponenten aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Berechtigungspr\u00fcfung, einer unzureichenden Eingabevalidierung oder einer unzureichenden URL-Validierung und anderen. Ein anonymer oder authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, Cross-Site-Scripting (XSS)-Angriffe durchzuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, einen Denial-of-Service-Zustand zu verursachen oder vertrauliche Informationen offenzulegen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T033957"
        ]
      },
      "release_date": "2024-04-08T22:00:00.000+00:00",
      "title": "CVE-2024-30217"
    },
    {
      "cve": "CVE-2024-30218",
      "notes": [
        {
          "category": "description",
          "text": "Es bestehen mehrere Schwachstellen in SAP-Software. Diese Fehler bestehen in der NetWeaver AS Java User Management Engine, der BusinessObjects Web Intelligence, der Anlagenbuchhaltung, der Edge Integration Cell, dem NetWeaver AS ABAP und der ABAP-Plattform, der Group Reporting Data Collection (Paketdaten eingeben), dem Employee Self Service, dem S/4HANA, den Business Connector Plugins und Komponenten aufgrund mehrerer sicherheitsrelevanter Probleme wie einer fehlenden Berechtigungspr\u00fcfung, einer unzureichenden Eingabevalidierung oder einer unzureichenden URL-Validierung und anderen. Ein anonymer oder authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, Cross-Site-Scripting (XSS)-Angriffe durchzuf\u00fchren, Sicherheitsma\u00dfnahmen zu umgehen, einen Denial-of-Service-Zustand zu verursachen oder vertrauliche Informationen offenzulegen. Einige dieser Schwachstellen erfordern eine Benutzerinteraktion, um erfolgreich ausgenutzt zu werden."
        }
      ],
      "product_status": {
        "known_affected": [
          "T033957"
        ]
      },
      "release_date": "2024-04-08T22:00:00.000+00:00",
      "title": "CVE-2024-30218"
    }
  ]
}