CVE-2022-22536criticalbajo ataqueCWE-444

CVE-2022-22536: fallo crítico en SAP Content Server

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear ABAP Platform+ Monitorear SAP NetWeaver

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 98%
de la publicación al arma6 días
Publicada en NVD9 feb
1ª PoC+6d
CISA KEV+190d
Acción exigida por CISAplazo federal: 2022-09-08

Apply updates per vendor instructions.

En resumen

Productos SAP NetWeaver permiten que atacantes inyecten datos maliciosos en solicitudes de usuarios legítimos sin autenticación. Esto habilita suplantar a la víctima, envenenar cachés web o ejecutar funciones no autorizadas, comprometiendo todo el sistema.

Detalle técnico

Vulnerabilidad de request smuggling HTTP (CWE-444) en SAP NetWeaver ABAP/Java, ABAP Platform, Content Server 7.53 y Web Dispatcher. Atacante no autenticado puede anteponer datos arbitrarios a solicitudes de víctimas mediante concatenación de solicitudes, eludiendo controles de autenticación y autorización. El impacto incluye compromiso de confidencialidad, integridad y disponibilidad mediante falsificación de solicitudes y envenenamiento de caché.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

SAP NetWeaver Application Server ABAP, SAP NetWeaver Application Server Java, ABAP Platform, SAP Content Server 7.53 and SAP Web Dispatcher are vulnerable for request smuggling and request concatenation. An unauthenticated attacker can prepend a victim's request with arbitrary data. This way, the attacker can execute functions impersonating the victim or poison intermediary Web caches. A successful attack could result in complete compromise of Confidentiality, Integrity and Availability of the system.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
SAP SE · SAP Content ServerSAP SE · SAP NetWeaver and ABAP PlatformSAP SE · SAP Web Dispatcher
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — SAP Content Server

En el mismo producto, de las más peligrosas a las menos.

CVE-2021-38162HIGHCVE-2021-38162EPSS 2.7%CVE-2022-27668—CVE-2022-27668EPSS 2.2%CVE-2022-28773—CVE-2022-28773EPSS 1.5%CVE-2022-28772—CVE-2022-28772EPSS 1.4%CVE-2022-29616—CVE-2022-29616EPSS 1.0%