🇰🇷 한글 설명
SAP Strategic Enterprise Management의 Scorecard Wizard(Business Server Pages)에서 권한 확인 절차가 누락되어 발생한 취약점입니다. 인증된 공격자가 권한이 없는 정보에 접근하거나 기본 설정 및 값 필드를 수정하여 리스크 평가 결과를 왜곡할 수 있습니다. 이는 데이터의 기밀성과 무결성에 낮은 영향을 미치며 가용성에는 영향을 주지 않습니다.
💡 쉬운 설명
로그인한 사용자가 허락되지 않은 정보까지 몰래 보거나 중요한 설정값을 마음대로 바꿀 수 있는 문제입니다. 이로 인해 위험도를 측정하는 결과가 잘못되어 실제보다 안전한 것처럼 속일 수 있습니다.
🇺🇸 원문 (English)
Due to missing authorization check in SAP Strategic Enterprise Management (Scorecard Wizard in Business Server Pages), an authenticated attacker could access information that they are otherwise unauthorized to view. This vulnerability also enables the attacker to change the default settings and modify value fields, which will mislead risk evaluations and falsely lower assessed risk levels. This results in a low impact on the confidentiality and integrity of the data. There is no impact on the application�s availability.
📍 영향받는 시스템
SAP Strategic Enterprise Management (Scorecard Wizard in Business Server Pages)
⚔️ 공격 벡터
인증된 사용자가 권한 검증이 누락된 기능을 통해 비인가 데이터 접근 및 설정 변경
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치를 적용하여 권한 확인 로직을 강화해야 합니다.
🔧 검증 코드
해당 서비스가 실행 중인지 확인하고 SAP 보안 패치 적용 이력을 검토하여 취약한 버전 여부를 판단합니다.
sapcontrol -function GetProcessList | grep -i 'Strategic Enterprise Management'