SAP_SE SAP BusinessObjects Business Intelligence Platform (Web Intelligence)
SAP BusinessObjects BI Platform (Web Intelligence): lettura di file e accesso a sistemi interni
Il problema, secondo i dati ufficiali
- Web Intelligence non limita correttamente la risoluzione delle entità esterne (XML external entities) quando elabora le richieste di connessione OLAP. Questo permette di accedere a risorse riservate, leggere file sensibili sul server e raggiungere sistemi interni non altrimenti esposti.
- Può sfruttarla un attaccante autenticato; secondo il punteggio ufficiale basta un account qualsiasi, anche con pochi permessi, e l'attacco avviene via rete.
- L'impatto principale è sulla riservatezza dei dati (alto), con impatto basso su integrità e disponibilità; sono coinvolte anche risorse oltre il componente vulnerabile.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- SAP BusinessObjects Business Intelligence Platform (Web Intelligence): 2025; 2027
Fonti ufficiali
- me.sap.com — riferimento
- url.sap — riferimento
Descrizione ufficiale (in inglese)
SAP BusinessObjects Business Intelligence Platform (Web Intelligence) does not properly restrict external entity resolution when processing OLAP connection requests. An authenticated attacker could exploit this vulnerability to access restricted resources, enabling them to read sensitive files on the server and reach internal systems that are not otherwise exposed, impacting resources beyond the vulnerable component, resulting in a high impact on confidentiality and a low impact on both integrity and availability.
Non sai se ti riguarda?
Se usi SAP_SE SAP BusinessObjects Business Intelligence Platform (Web Intelligence) e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 10 novembre 2026. Prima di intervenire verifica l'avviso del produttore.