CVE-2023-28765criticalCWE-200

Information Disclosure vulnerability in SAP BusinessObjects Business Intelligence Platform (Promotion Management )

33Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 9.8epss 15%

probabilidad de explotación

15%top 4% de las CVE

explotación observada

noninguna fuente lo reporta

En resumen

Un atacante con acceso básico a la plataforma SAP BusinessObjects BI puede robar archivos cifrados y descifrarlos para obtener contraseñas de usuarios, pudiendo asumir control total del sistema dependiendo de los permisos del usuario comprometido.

Detalle técnico

Vulnerabilidad CWE-200 de divulgación de información en SAP BusinessObjects BI Platform Promotion Management (versiones 420, 430) permite que atacantes con privilegios bajos accedan y descifren archivos lcmbiar que contienen credenciales de usuarios BI. La explotación exitosa habilita movimiento lateral y escalación de privilegios según los permisos del usuario comprometido, potencialmente llevando al compromiso completo de la aplicación.

Resumen generado y traducido por IA a partir de la descripción oficial.

An attacker with basic privileges in SAP BusinessObjects Business Intelligence Platform (Promotion Management) - versions 420, 430, can get access to lcmbiar file and further decrypt the file. After this attacker can gain access to BI user’s passwords and depending on the privileges of the BI user, the attacker can perform operations that can completely compromise the application.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Productos afectados

SAP · BusinessObjects Business Intelligence Platform (Promotion Management)

Referencias

https://launchpad.support.sap.com/#/notes/3298961 https://www.sap.com/documents/2022/02/fa865ea4-167e-0010-bca6-c68f7e60039b.html