CVE-2025-42922
Mis à jour :
Exploitation de SAP NetWeaver AS Java par des opérations de fichiers non sécurisées
Une faille de sécurité, identifiée sous la référence CVE-2025-42922, a été découverte au sein du composant Deploy Web Service de SAP NetWeaver AS Java. Cette vulnérabilité permet à un utilisateur authentifié, même sans privilèges administratifs, d’envoyer des fichiers arbitraires au système.
Le problème réside dans la manière dont le Deploy Web Service traite les requêtes multipart/form-data, manquant de contrôles d’accès basés sur les rôles (RBAC) suffisants et de validation des types de fichiers. Ces lacunes ouvrent la porte à des utilisateurs faiblement privilégiés pour contourner les restrictions et charger des fichiers malveillants.
Points clés :
- Nature de la vulnérabilité : Opérations de fichiers non sécurisées.
- Composant affecté : Deploy Web Service dans SAP NetWeaver AS Java.
- Attaquant potentiel : Utilisateur authentifié non-administratif.
- Impact : Téléchargement de fichiers arbitraires sur le système.
Vulnérabilité :
- CVE : CVE-2025-42922
Recommandations :
Bien que l’article ne fournisse pas explicitement de recommandations de correction, les informations présentées suggèrent la nécessité d’implémenter des contrôles d’accès basés sur les rôles robustes et une validation rigoureuse des types de fichiers pour les requêtes de téléchargement.