CVE-2019-0344criticalbajo ataqueCWE-502

CVE-2019-0344: fallo crítico en SAP Commerce Cloud (virtualjdbc extension)

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear SAP Commerce Cloud

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

58Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA.

ssvc Actcvss 9.8epss 7.5%
de la publicación al arma
Publicada en NVD14 ago
CISA KEV+1874d
Acción exigida por CISAplazo federal: 2024-10-21

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

La extensión virtualjdbc de SAP Commerce Cloud procesa datos no confiables de forma insegura, permitiendo que atacantes ejecuten código malicioso en el servidor. Esto es crítico porque otorga a los atacantes control total del sistema con derechos de la aplicación.

Detalle técnico

La extensión virtualjdbc en SAP Commerce Cloud (versiones 6.4–1905) deserializa entrada no confiable sin validación adecuada, permitiendo ejecución remota de código en el contexto del usuario Hybris. Un atacante puede inyectar código arbitrario mediante objetos serializados maliciosos, eludiendo autenticación si el endpoint de deserialización está expuesto.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Due to unsafe deserialization used in SAP Commerce Cloud (virtualjdbc extension), versions 6.4, 6.5, 6.6, 6.7, 1808, 1811, 1905, it is possible to execute arbitrary code on a target machine with 'Hybris' user rights, resulting in Code Injection.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
SAP SE · SAP Commerce Cloud (virtualjdbc extension)