Descripción
SAP NetWeaver Application Server (AS) Java contiene una vulnerabilidad de recorrido de directorios (path traversal) en scheduler/ui/js/ffffffffbca41eb4/UIUtilJavaScriptJS que permite a un atacante remoto leer archivos arbitrarios mediante un .. (punto punto) en la cadena de consulta.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Los usuarios de SAP deben tener una cuenta para iniciar sesión y acceder al parche me.sap.com/notes/3476549
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2017-12637
Ver el texto original en inglés (CISA)
SAP NetWeaver Directory Traversal Vulnerability
SAP NetWeaver Application Server (AS) Java contains a directory traversal vulnerability in scheduler/ui/js/ffffffffbca41eb4/UIUtilJavaScriptJS that allows a remote attacker to read arbitrary files via a .. (dot dot) in the query string.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: SAP users must have an account to log in and access the patch: https://me.sap.com/notes/3476549 ; https://nvd.nist.gov/vuln/detail/CVE-2017-12637
Otras vulnerabilidades de SAP en el catálogo
- CVE-2025-42999 Vulnerabilidad de deserialización en SAP NetWeaver Alta 15-05-2025
- CVE-2025-31324 Vulnerabilidad de carga de archivos sin restricciones en SAP NetWeaver Alta 29-04-2025
- CVE-2019-0344 SAP Commerce Cloud Deserialization of Untrusted Data Vulnerability Alta 30-09-2024
- CVE-2022-22536 SAP Multiple Products HTTP Request Smuggling Vulnerability Alta 18-08-2022
- CVE-2021-38163 SAP NetWeaver Unrestricted File Upload Vulnerability Alta 09-06-2022