CVE-2017-12637highbajo ataqueCWE-22

CVE-2017-12637

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear SAP NetWeaver

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 7.5epss 95%
de la publicación al arma2907 días
Publicada en NVD7 ago
1ª PoC+2907d
CISA KEV+2781d
Acción exigida por CISAplazo federal: 2025-04-09

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Un fallo en SAP NetWeaver permite que atacantes lean cualquier archivo del servidor utilizando secuencias especiales de ruta (como ../) en solicitudes web. Esto expone información sensible almacenada en el servidor.

Detalle técnico

Vulnerabilidad de traversal de directorios en el componente JavaScript de la interfaz del scheduler (CWE-22) que permite a atacantes remotos leer archivos arbitrarios inyectando secuencias de traversal de ruta en la cadena de consulta. No requiere autenticación ni condiciones especiales; la explotación exitosa resulta en divulgación no autorizada de información.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Directory traversal vulnerability in scheduler/ui/js/ffffffffbca41eb4/UIUtilJavaScriptJS in SAP NetWeaver Application Server Java 7.5 allows remote attackers to read arbitrary files via a .. (dot dot) in the query string, as exploited in the wild in August 2017, aka SAP Security Note 2486657.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.