SAP MaxDB (MySQL) 修補嚴重漏洞：可導致遠端程式碼執行

Symantec 研究員 Olive Karow 發現 SAP MaxDB 存在嚴重漏洞，攻擊者可透過發送畸形 HTTP 請求，在無需認證的情況下取得 wahttp 進程權限並執行任意程式碼。該漏洞已在 MaxDB 7.6.00.31 版修復。

暫時緩解措施

• 停用 SAP-DB WWW 服務，或限制其存取權限。

背景

2004 年 SAP 與 MySQL 達成專利共享協議，SAP DB 更名為 MaxDB，並針對 mySAP Business Suite 與 MySQL 進行優化整合。企業用戶請至 SAP Service Marketplace 下載最新版本。