← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités SAP activement exploitées (KEV)

Les 14 vulnérabilités SAP dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne, dont 3 utilisées par des rançongiciels. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2025-42999 — SAP NetWeaver : vulnérabilité de désérialisation

Produit : SAP NetWeaver
Ajoutée au catalogue : 15 mai 2025
Échéance CISA : 5 juin 2025
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-502
Gravité : CVSS 9,1 (critique)
Probabilité d’exploitation (EPSS) : 13 %
Technologie : SAP

SAP NetWeaver Visual Composer Metadata Uploader contient une vulnérabilité de désérialisation qui permet à un attaquant privilégié de compromettre la confidentialité, l'intégrité et la disponibilité du système hôte en désérialisant du contenu non fiable ou malveillant.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2025-31324 — SAP NetWeaver : vulnérabilité de téléversement de fichiers non restreint Critique

Produit : SAP NetWeaver
Ajoutée au catalogue : 29 avril 2025
Échéance CISA : 20 mai 2025
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-434
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 99 %
Technologie : SAP

SAP NetWeaver Visual Composer Metadata Uploader contient une vulnérabilité de téléversement de fichiers non restreint qui permet à un agent non authentifié de téléverser des binaires exécutables potentiellement malveillants.

Références : NVD · CISA · me.sap.com

Fiche détaillée : versions, références, chronologie →

CVE-2017-12637 — SAP NetWeaver : vulnérabilité de traversée de répertoires

Produit : SAP NetWeaver
Ajoutée au catalogue : 19 mars 2025
Échéance CISA : 9 avril 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-22
Gravité : CVSS 7,5 (élevée)
Probabilité d’exploitation (EPSS) : 95 %
Technologie : SAP

Le serveur d'applications SAP NetWeaver (AS) Java contient une vulnérabilité de traversée de répertoires dans scheduler/ui/js/ffffffffbca41eb4/UIUtilJavaScriptJS qui permet à un attaquant distant de lire des fichiers arbitraires via un .. (point point) dans la chaîne de requête.

Références : NVD · CISA

CVE-2019-0344 — SAP Commerce Cloud : vulnérabilité de désérialisation de données non fiables

Produit : SAP Commerce Cloud
Ajoutée au catalogue : 30 septembre 2024
Échéance CISA : 21 octobre 2024
Rançongiciels : pas d’usage connu
Faiblesse : CWE-502
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 7 %
Technologie : SAP

SAP Commerce Cloud (anciennement connu sous le nom de Hybris) contient une vulnérabilité de désérialisation de données non fiables au sein de l'extension mediaconversion et virtualjdbc qui permet une injection de code.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · web.archive.org

CVE-2022-22536 — SAP, plusieurs produits : vulnérabilité de smuggling de requêtes HTTP

Produit : SAP Multiple Products
Ajoutée au catalogue : 18 août 2022
Échéance CISA : 8 septembre 2022
Rançongiciels : pas d’usage connu
Faiblesse : CWE-444
Gravité : CVSS 10,0 (critique)
Probabilité d’exploitation (EPSS) : 98 %
Technologie : SAP

SAP NetWeaver Application Server ABAP, SAP NetWeaver Application Server Java, ABAP Platform, SAP Content Server et SAP Web Dispatcher permettent le smuggling de requêtes HTTP. Un attaquant non authentifié peut préfixer la requête d'une victime avec des données arbitraires, permettant l'exécution de fonctions usurpant l'identité de la victime ou l'empoisonnement des caches web intermédiaires.