CVE-2017-12637
SAP NetWeaver Directory Traversal Vulnerability
Beschreibung
CVE-2017-12637 ist eine Directory-Traversal-Schwachstelle in SAP NetWeaver Application Server Java 7.5. Ueber den Pfad scheduler/ui/js/ffffffffbca41eb4/UIUtilJavaScriptJS kann ein nicht authentifizierter Angreifer durch das Einfuegen von Pfadtrennern ("../") in den Query-String beliebige Dateien vom Server lesen. Die Schwachstelle wird mit einem CVSS v3.1-Score von 7.5 (HIGH) bewertet und wurde bereits im August 2017 aktiv ausgenutzt.
Die CISA hat CVE-2017-12637 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 9. April 2025. Der ausserordentlich hohe EPSS-Score von 93.22 % (99. Perzentil) zeigt, dass diese Schwachstelle zu den am intensivsten ausgenutzten Sicherheitsluecken ueberhaupt gehoert. SAP NetWeaver ist in zahlreichen Unternehmen ein geschaeftskritisches System, dessen Kompromittierung weitreichende Folgen haben kann.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sap | netweaver application server java | 7.50 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- https://web.archive.org/web/20170807202056/http://www.sh0w.top/index.php/archives/7/(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-12637(US Government Resource)
Schwachstellentyp
CWE-22: Pfadtraversierung
CVE-2017-12637 basiert auf CWE-22 (Improper Limitation of a Pathname to a Restricted Directory), einer weit verbreiteten Schwachstellenklasse in Webanwendungen. Bei einer Pfadtraversierung kann ein Angreifer durch die Eingabe von Pfadtrennern wie "../" auf Dateien ausserhalb des vorgesehenen Verzeichnisses zugreifen. Im Fall von SAP NetWeaver werden Benutzereingaben im Query-String des Scheduler-UI-Endpunkts nicht ausreichend bereinigt, wodurch beliebige Dateien auf dem Server gelesen werden koennen.
Weitere Informationen: CWE-22 -- Improper Limitation of a Pathname to a Restricted Directory
Auswirkungsanalyse
Die Auswirkungen von CVE-2017-12637 betreffen primaer die Vertraulichkeit von Daten auf dem SAP NetWeaver-Server. Der CVSS-Score von 7.5 (HIGH) mit dem Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N zeigt, dass die Schwachstelle remote ohne Authentifizierung bei niedriger Komplexitaet ausnutzbar ist. Vertraulichkeit (High): Ein Angreifer kann beliebige Dateien vom Server lesen, darunter Konfigurationsdateien mit Zugangsdaten, SAP-spezifische Konfigurationen, Datenbank-Verbindungsstrings und potenziell geschaeftskritische Daten. In SAP-Umgebungen koennen die durch diese Schwachstelle offengelegten Informationen fuer weitergehende Angriffe genutzt werden, etwa zur Eskalation von Privilegien oder fuer laterale Bewegungen im Netzwerk. Der EPSS-Score von 93.22 % im 99. Perzentil belegt die massive aktive Ausnutzung dieser Schwachstelle -- sie gehoert zu den Top 1 % aller bekannten Schwachstellen hinsichtlich der Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
CVE-2017-12637 weist eine sehr hohe Exploit-Reife auf. Die Schwachstelle wurde bereits im August 2017 als Zero-Day in freier Wildbahn ausgenutzt und ist im SAP Security Note 2486657 dokumentiert. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und die aktive Ausnutzung bestaetigt. Der EPSS-Score von 93.22 % (99. Perzentil) ist ausserordentlich hoch und platziert diese Schwachstelle unter die Top 1 % der weltweit am staerksten ausgenutzten Sicherheitsluecken. Obwohl der Ransomware-Status als Unknown klassifiziert ist, koennen die durch die Pfadtraversierung gewonnenen Informationen -- insbesondere Zugangsdaten und Konfigurationen -- fuer weitergehende Angriffe genutzt werden, die letztlich zu einer vollstaendigen Systemuebernahme fuehren koennen.
Behebung
-
SAP Security Note 2486657 einspielen: Installieren Sie umgehend den von SAP bereitgestellten Patch gemaess Security Note 2486657. Dieser behebt die unzureichende Eingabevalidierung im Scheduler-UI-Endpunkt von SAP NetWeaver Application Server Java 7.5.
-
Zugriff auf Scheduler-UI einschraenken: Beschraenken Sie den Zugriff auf den Pfad /scheduler/ui/ ueber Webserver- oder Reverse-Proxy-Konfiguration auf autorisierte Administratoren. Blockieren Sie den oeffentlichen Zugriff auf diesen Endpunkt vollstaendig, sofern er nicht zwingend benoetigt wird.
-
Web Application Firewall konfigurieren: Setzen Sie WAF-Regeln ein, die Pfadtraversierungsmuster wie "../" und deren Kodierungsvarianten (%2e%2e%2f, ..%252f) in URLs und Query-Strings erkennen und blockieren.
-
Systemuebergreifende Pruefung: Untersuchen Sie die Webserver-Logs auf vergangene Zugriffsversuche auf den Scheduler-UI-Endpunkt mit verdaechtigen Pfadtrennern. Pruefen Sie, ob Konfigurationsdateien oder Zugangsdaten kompromittiert wurden, und rotieren Sie diese gegebenenfalls.
-
Netzwerksegmentierung verstaerken: Stellen Sie sicher, dass der SAP NetWeaver Application Server nicht direkt aus dem Internet erreichbar ist und nur ueber sichere Zugangswege (VPN, Reverse Proxy mit Authentifizierung) erreichbar ist.
Technische Details
CVE-2017-12637 betrifft den Endpunkt scheduler/ui/js/ffffffffbca41eb4/UIUtilJavaScriptJS in SAP NetWeaver Application Server Java 7.5. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N zeigt, dass es sich um einen reinen Vertraulichkeitsangriff handelt, der remote ohne jegliche Voraussetzungen durchfuehrbar ist. Die Schwachstelle liegt in der fehlenden Bereinigung von Pfadtrennern im Query-String: Ein Angreifer kann durch das Anhaengen von ".." (Dot-Dot-Sequenzen) an die URL aus dem vorgesehenen Verzeichnis ausbrechen und beliebige Dateien auf dem Dateisystem des Servers lesen. Dies betrifft insbesondere Systemkonfigurationsdateien, SAP-spezifische Konfigurationen und potenziell Dateien mit gespeicherten Zugangsdaten. Die Schwachstelle ist auch als SAP Security Note 2486657 bekannt und wurde bereits im August 2017 als aktiv ausgenutzte Sicherheitsluecke dokumentiert.
Häufig gestellte Fragen
Wird CVE-2017-12637 aktiv ausgenutzt?
Ja, CVE-2017-12637 wird seit August 2017 aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen. Der EPSS-Score von 93.22 % im 99. Perzentil zeigt eine der hoechsten Ausnutzungswahrscheinlichkeiten ueberhaupt.
Welche Produkte sind von CVE-2017-12637 betroffen?
Betroffen ist SAP NetWeaver Application Server Java in Version 7.50. Die Schwachstelle befindet sich spezifisch im Scheduler-UI-Endpunkt, der Bestandteil des Application Servers ist.
Wie behebe ich CVE-2017-12637?
Wenden Sie SAP Security Note 2486657 an, die den Patch fuer diese Schwachstelle enthaelt. Zusaetzlich sollten Sie den Zugriff auf den Scheduler-UI-Endpunkt einschraenken und eine Web Application Firewall mit Pfadtraversierungs-Erkennung einsetzen.
Wie schwerwiegend ist CVE-2017-12637?
Mit einem CVSS-Score von 7.5 (HIGH) und einem EPSS-Score von 93.22 % ist diese Schwachstelle als hochriskant einzustufen. Obwohl nur die Vertraulichkeit direkt betroffen ist, koennen die durch die Dateiauslesung gewonnenen Informationen fuer weitergehende Angriffe genutzt werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.