SAP NetWeaver AS JAVA Visual Composer VC70RUNTIME组件安全漏洞

基本信息

漏洞ID：1138838
漏洞类型：Input Validation Error
发布日期：2017-02-14
更新时间：2017-05-23
CVE编号：CVE-2017-8913
CNNVD-ID：CNNVD-201705-660
漏洞平台：N/A
CVSS评分：6.5

漏洞来源

<a href="https://www.securityfocus.com/bid/96204" target="_blank">https://www.securityfocus.com/bid/96204</a><br/> <a href="http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201705-660" target="_blank">http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201705-660</a><br/>

漏洞详情

SAPNetWeaver是德国思爱普（SAP）公司的一套面向服务的集成化应用平台，该平台可为SAP应用提供开发和运行环境。SAPNetWeaverAS（ApplicationServer）Java是一款运行于NetWeaver中且基于Java编程语言的应用服务器。VisualComposerVC70RUNTIME是其中的一个可视化编辑组件。SAPNetWeaverASJAVA7.5版本中的VisualComposerVC70RUNTIME组件存在XML外部实体注入漏洞。远程攻击者可借助发送到irj/servlet/prt/portal/prtroot/com.sap.visualcomposer.BIKit.default的请求中特制的XML文档利用该漏洞造成拒绝服务或读取文件。

参考资料

来源:MISC
链接:https://erpscan.com/advisories/erpscan-17-007-sap-netweaver-java-7-5-xxe-visual-composer-vc70runtime/
来源:MISC
链接:https://erpscan.com/press-center/blog/sap-cyber-threat-intelligence-report-february-2017/