CVE-2021-38163criticalbajo ataqueCWE-22

CVE-2021-38163: fallo crítico en SAP NetWeaver (Visual Composer 7.0 RT)

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear SAP NetWeaver

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

90Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 9.9epss 37%
de la publicación al arma361 días
Publicada en NVD14 sept
1ª PoC+361d
CISA KEV+268d
Acción exigida por CISAplazo federal: 2022-06-30

Apply updates per vendor instructions.

En resumen

Un fallo en SAP NetWeaver permite que un usuario común cargue un archivo malicioso que se ejecuta con permisos del servidor Java, permitiendo que atacantes roben datos, modifiquen archivos o derriben el sistema.

Detalle técnico

Vulnerabilidad de path traversal (CWE-22) en SAP NetWeaver Visual Composer 7.0 RT (versiones 7.30–7.50) permite que usuarios autenticados sin privilegios administrativos carguen y ejecuten archivos arbitrarios con permisos del servidor Java. El atacante logra ejecución remota de código para leer/modificar datos sensibles o realizar denegación de servicio.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

SAP NetWeaver (Visual Composer 7.0 RT) versions - 7.30, 7.31, 7.40, 7.50, without restriction, an attacker authenticated as a non-administrative user can upload a malicious file over a network and trigger its processing, which is capable of running operating system commands with the privilege of the Java Server process. These commands can be used to read or modify any information on the server or shut the server down making it unavailable.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Productos afectados
SAP SE · SAP NetWeaver (Visual Composer 7.0 RT)
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.