九游老哥云
SAP NetWeaver AS Java 严重误差 (CVE-2020-6287) 清静通告
2020-07-15
综述
外地时间2020年7月13日，SAP宣布清静更新体现，修复了一个保存于SAP NetWeaver AS Java（LM设置向导）7.30至7.50版本中的严重误差CVE-2020-6287。
误差缘于SAP NetWeaver AS for Java Web组件中缺少身份验证，因此允许攻击者在受影响的SAP系统上举行高特权运动。
若是被乐成使用，则未经身份验证的远程攻击者可以通过建设具有最大特权的新SAP用户，绕过所有会见和授权控制，从而完全控制SAP系统。
CVSS 3.0评分10
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。
参考链接：
https://us-cert.cisa.gov/ncas/alerts/aa20-195a
受影响产品
SAP NetWeaver AS JAVA (LM 设置向导) Versions = 7.30, 7.31, 7.40, 7.50
潜在易受攻击的SAP营业解决计划包括（但不限于）：
SAP Enterprise Resource Planning(ERP),
SAP Product Lifecycle Management,
SAP Customer Relationship Management,
SAP Supply Chain Management(SCM),
SAP Supplier Relationship Management,
SAP NetWeaver Business Warehouse,
SAP Business Intelligence,
SAP NetWeaver Mobile Infrastructure,
SAP Enterprise Portal,
SAP Process Orchestration/Process Integration,
SAP Solution Manager,
SAP NetWeaver Development Infrastructure,
SAP Central Process Scheduling,
SAP NetWeaver Composition Environment, and
SAP Landscape Manager.
解决计划
官方已为受影响组件宣布了补丁。强烈建议相关客户连忙装置更新。
https://launchpad.support.sap.com/
无法连忙修补的组织应通过禁用LM设置向导服务来缓解该误差（请参阅SAP清静说明＃2939665）。
https://launchpad.support.sap.com/#/notes/2939665
若是这些选项都不可用，或者操作将破费凌驾24小时才华完成，则建议亲近监视SAP NetWeaver AS的异�Ｔ硕�。
官方清静更新：
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=552599675
声 明
本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任。九游老哥科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
关于九游老哥科技
九游老哥（简称九游老哥科技）建设于2000年4月，总部位于北京。在海内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有焦点竞争力的清静产品及解决计划，资助客户实现营业的清静顺畅运行。
基于多年的清静攻防研究，九游老哥科技在网络及终端清静、互联网基础清静、合规及清静治理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程清静评估以及Web清静防护等产品以及专业清静服务。
九游老哥于2014年1月29日起在深圳证券生意所创业板上市，股票简称：九游老哥科技，股票代码：300369。
