目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2021-21480— SAP MII 代码注入漏洞

一分钟漏洞结论

影响对象
SAP SE SAP Manufacturing Integration and Intelligence
利用判断
利用概率较高，应尽快评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

SAP MII是德国思爱普（SAP）公司的一个应用软件。提供制造运营管理功能。 SAP MII 存在代码注入漏洞，该漏洞源于开发人员角色的用户打开此仪表板时，仪表板中的恶意内容将被执行，导致服务器中的远程代码执行，从而允许权限升级。

AI 预测 8.1 利用难度: 中等 EPSS 52.10% · P99
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2021-21480 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
N/A
来源: CVE Program / CVE List V5
Vulnerability Description
SAP MII allows users to create dashboards and save them as JSP through the SSCE (Self Service Composition Environment). An attacker can intercept a request to the server, inject malicious JSP code in the request and forward to server. When this dashboard is opened by users having at least SAP_XMII Developer role, malicious content in the dashboard gets executed, leading to remote code execution in the server, which allows privilege escalation. The malicious JSP code can contain certain OS commands, through which an attacker can read sensitive files in the server, modify files or even delete contents in the server thus compromising the confidentiality, integrity and availability of the server hosting the SAP MII application. Also, an attacker authenticated as a developer can use the application to upload and execute a file which will permit them to execute operating systems commands completely compromising the server hosting the application.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
N/A
来源: CVE Program / CVE List V5
Vulnerability Title
SAP MII 代码注入漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
SAP MII是德国思爱普（SAP）公司的一个应用软件。提供制造运营管理功能。 SAP MII 存在代码注入漏洞，该漏洞源于开发人员角色的用户打开此仪表板时，仪表板中的恶意内容将被执行，导致服务器中的远程代码执行，从而允许权限升级。
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD

受影响产品

厂商 产品 影响版本 CPE 订阅
SAP SE SAP Manufacturing Integration and Intelligence < 15.1 -

二、漏洞 CVE-2021-21480 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2021-21480 的情报信息

请登录查看更多情报信息。

CVE-2021-21480 邮件列表归档 (1)

CVE-2021-21480 其他参考 (3)

同批安全公告 · SAP SE · 2021-03-09 · 共 16 条

CVE-2021-27592 SAP 3D Visual Enterprise Viewer 安全漏洞
CVE-2021-27590 SAP 3D Visual Enterprise Viewer 安全漏洞
CVE-2021-27584 SAP 3D Visual Enterprise Viewer 安全漏洞
CVE-2021-27588 SAP 3D Visual Enterprise Viewer 安全漏洞
CVE-2021-27586 SAP 3D Visual Enterprise Viewer 安全漏洞
CVE-2021-27587 SAP 3D Visual Enterprise Viewer 安全漏洞
CVE-2021-27591 SAP 3D Visual Enterprise Viewer 安全漏洞
CVE-2021-27589 SAP 3D Visual Enterprise Viewer 安全漏洞
CVE-2021-27585 SAP 3D Visual Enterprise Viewer 安全漏洞
CVE-2021-21484 SAP HANA 安全漏洞
CVE-2021-21487 思爱普 SAP Payment Engine 安全漏洞
CVE-2021-21493 SAP 3D Visual Enterprise Viewer 安全漏洞
CVE-2021-21486 SAP Enterprise Financial Services 安全漏洞
CVE-2021-21488 SAP NetWeaver Knowledge Management Configuration Service 代码问题漏洞
CVE-2021-21481 SAP Netweaver 安全漏洞

IV. Related Vulnerabilities

Same product: SAP Manufacturing Integration and Intelligence
Same vendor: SAP SE

V. Comments for CVE-2021-21480

暂无评论

发表评论