SAP Basis & Security SAP Patch Day November

Im November hat die SAP zum Security Patch Day wieder Sicherheitsupdates für verschiedene Produkte herausgebracht:

Die als „Hot News“ veröffentlichen Lücken betreffen dieses Mal folgende Produkte:

SAP Solution Manager 7.2 SP11 und niedriger

Durch fehlende Berechtigungsprüfungen im SAP Solution Manager kann ein nicht authentifizierter Angreifer das System kompromittieren. Außerdem wird für einen Service des User Experience Monitoring keine Berechtigungsprüfung ausgeführt, was zu einer Manipulation der mit dem SAP Solution Manager verbundenen SMDAgents führen kann. Die Sicherheitslücken werden mit einem Patch der Komponente SOLMANDIAG (720) auf das entsprechende Level oder mit Einspielen des Support Package 12 des SAP Solution Managers behoben.

SAP NetWeaver Application Server Java

• Durch den UDDI-Server vom SAP NetWeaver Application Server Java wird es Angreifern ermöglicht, beliebige Betriebssystembefehle auszuführen, ohne über die erforderlichen Berechtigungen zu verfügen. Diese Sicherheitslücke wird mit einem Patch der der Komponente SR UI (7.20, 7.30, 7.31, 7.40 und 7.50) behoben.

• Das SAP NetWeaver Knowledge Management ermöglicht die automatische Ausführung von Skriptinhalten in abgelegten Dateien aufgrund unzureichender Filterung der Zugriffberechtigungen des Benutzers. Die Ausführung der schädlichen Ressourcen wird mit dem Patch der Komponente KMC-CM (7.30, 7.31, 7.40 und 7.50) verhindert.

• Eine weitere Schwachstelle besteht in den Produkten SAP AS ABAP DMIS (2011_1_620, 2011_1_640, 2011_1_700, 2011_1_710, 2011_1_730, 2011_1_731, 2011_1_752, 2020) und SAP S/4HANA DMIS (101, 102, 103, 104, 105). Durch eine fehlende Eingabevalidierung kann ein authentifizierter Angreifer schädlichen ABAB-Code einschleusen und diesen unter Verwendung des Remote-Funktionsbausteins ausführen. Damit ist die Übernahme der vollen Kontrolle über das System möglich. Diese Sicherheitslücke wird mit dem Hinweis 2973735 geschlossen.

Weitere Sicherheitslücken mit der Einstufung High betreffen außerdem folgende Produkte:

SAP Fiori Launchpad

• Zwei Schwachstellen in der SAP UI Komponente (750, 751, 752, 753, 754, 755) und in der SAP Basis Komponenten (782) haben Auswirkungen auf die Nachrichtenkachel im Fiori Launchpad.

1. Zum Einen können Angreifer eigens erstelle Anfragen durchführen, die einen gezielten Angriff auf interne Systeme hinter Firewalls ermöglichen. Dies führt zu einer Server-Side-Request-Forgery-Schwachstelle.
2. Des Weiteren kann ein Angreifer über die Kachel schädliches Coding an einen beliebigen Endbenutzer senden, was zu einer Reflected-Cross-Site-Scripting-Schwachstelle (XSS) führt. Diese Schwachstellen werden mit einem Patch der SAP UI Komponenten (753, 754, 755) oder der SAP Basis Komponenten 782 behoben.

Zwei weitere Schwachstellen mit der Priorität High betreffen die Anwendungen SAP Commerce Cloud und SAP Data Services

Nähere Informationen zu allen veröffentlichten Sicherheitslücken vom SAP Patch Day November finden Sie hier.

Wenn Sie Unterstützung bei der Bewertung der Sicherheitslücken in Bezug auf Ihre Systeme benötigen, wenden Sie sich gern direkt an Herrn René Studtmann unter Rene.Studtmann@cpro-ips.com.

Stand: 11. November 2020