CVE-2020-26829
Publiée le 2020-12-09 · Dernière modification le 2026-06-17
SAP NetWeaver AS JAVA (versions 7.11 à 7.50) est affecté par l'absence d'une vérification d'authentification dans sa communication de cluster P2P. Un attaquant non authentifié disposant d'un accès réseau peut appeler à distance des fonctions d'administration système restreintes, ce qui pourrait lui permettre de modifier les paramètres du système ou d'éteindre complètement le serveur. Comme aucun identifiant ni interaction avec l'utilisateur ne sont requis, l'exécution de cette attaque est triviale pour un acteur distant.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
SAP NetWeaver AS JAVA (P2P Cluster Communication), versions - 7.11, 7.20, 7.30, 7.31, 7.40, 7.50, allows arbitrary connections from processes because of missing authentication check, that are outside the cluster and even outside the network segment dedicated for the internal cluster communication. As result, an unauthenticated attacker can invoke certain functions that would otherwise be restricted to system administrators only, including access to system administration functions or shutting down the system completely.