CVSS: 6.6EPSS: 0%CPEs: 1EXPL: 0CVE-2018-2451
https://notcve.org/view.php?id=CVE-2018-2451
XS Command-Line Interface (CLI) user sessions with the SAP HANA Extended Application Services (XS), version 1, advanced server may have an unintentional prolonged period of validity. Consequently, a platform user could access controller resources via active CLI session even after corresponding authorizations have been revoked meanwhile by an administrator user. Similarly, an attacker who managed to gain access to the platform user's session might misuse the session token even after the session has been closed. En las sesiones de usuario XS Command-Line Interface (CLI) con SAP HANA Extended Application Services (XS), versión 1, el servidor avanzado podría tener un período de validez prolongado no intencionado. En consecuencia, un usuario de la plataforma podría acceder a recursos del controlador mediante una sesión de la interfaz de línea de comandos activa incluso después de que las autorizaciones correspondientes hayan sido revocadas por un usuario administrador. • http://www.securityfocus.com/bid/105091 https://launchpad.support.sap.com/#/notes/2590705 https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=499352742 • CWE-613: Insufficient Session Expiration •
CVSS: 8.4EPSS: 0%CPEs: 2EXPL: 0CVE-2018-2402
https://notcve.org/view.php?id=CVE-2018-2402
In systems using the optional capture & replay functionality of SAP HANA, 1.00 and 2.00, (see SAP Note 2362820 for more information about capture & replay), user credentials may be stored in clear text in the indexserver trace files of the control system. An attacker with the required authorizations on the control system may be able to access the user credentials and gain unauthorized access to data in the captured or target system. En sistemas que empleen la funcionalidad opcional de captura por reproducción en SAP HANA, en versiones 1.00 y 2.00 (véase SAP Note 2362820 para más información sobre la captura por reproducción), las credenciales de usuario podrían almacenarse en texto claro en los archivos de trazas indexserver del sistema de control. Un atacante con las autorizaciones requeridas en el sistema de control podría acceder a las credenciales de usuario y obtener acceso no autorizado a los datos en el sistema capturado u objetivo. • http://www.securityfocus.com/bid/103369 https://blogs.sap.com/2018/03/13/sap-security-patch-day-march-2018 https://launchpad.support.sap.com/#/notes/2587369 • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •
CVSS: 8.1EPSS: 0%CPEs: 1EXPL: 0CVE-2018-2376
https://notcve.org/view.php?id=CVE-2018-2376
In SAP HANA Extended Application Services, 1.0, a controller user who has SpaceAuditor authorization in a specific space could retrieve application environments within that space. En SAP HANA Extended Application Services 1.0, un usuario controller que tenga la autorización SpaceAuditor en un espacio específico podría recuperar entornos de la aplicación en ese espacio. • https://blogs.sap.com/2018/02/13/sap-security-patch-day-february-2018 https://launchpad.support.sap.com/#/notes/2589129 •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2018-2373
https://notcve.org/view.php?id=CVE-2018-2373
Under certain circumstances, a specific endpoint of the Controller's API could be misused by unauthenticated users to execute SQL statements that deliver information about system configuration in SAP HANA Extended Application Services, 1.0. Bajo ciertas circunstancias, un endpoint específico de la API del controlador podría ser empleado erróneamente por usuarios no autenticados para ejecutar instrucciones SQL que envían información sobre la configuración del sistema en SAP HANA Extended Application Services 1.0. • https://blogs.sap.com/2018/02/13/sap-security-patch-day-february-2018 https://launchpad.support.sap.com/#/notes/2589129 •
CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2018-2377
https://notcve.org/view.php?id=CVE-2018-2377
In SAP HANA Extended Application Services, 1.0, some general server statistics and status information could be retrieved by unauthorized users. En SAP HANA Extended Application Services 1.0, algunos datos de estado y estadísticas generales del servidor podrían recuperarse por usuarios no autorizados. • https://blogs.sap.com/2018/02/13/sap-security-patch-day-february-2018 https://launchpad.support.sap.com/#/notes/2589129 •