SAP Basis & Security SAP Patch Day Juli 2023

Die als „Hot News“ veröffentlichten Sicherheitslücken betreffen dieses Mal folgende Produkte:

Produkt: SAP Business Client, Versionen -6.5, 7.0, 7.70

Komponente: SAP BUSINESS CLIENT 6.5 SP005 – SP022, SAP BUSINESS CLIENT 7.0 SP000 – SP001

Im Dritthersteller-Browser Google Chromium bestehen mehrere sicherheitsrelevante Schwachstellen, die beim Nutzen von Browser-Control-Google Chromium in Verbindung mit dem SAP Business Client aufgetreten sind.

• Hierdurch bestehen im SAP Business Client durch die Open-Source-Browser-Control verschiedene Schwachstellen, die zu Speicherschäden der Offenlegung von Informationen im System oder sogar zum Systemabsturz führen können.
• Die SAP empfiehlt die aktuellsten Patches für den SAP Business Client zu installieren, da diese alle das neueste und stabile Major-Release des Browser-Controls Chromium enthalten.
• Mehr dazu finden Sie unter dem Hinweis: 2622660.

Eine weitere als „Hot News" eingestufte Sicherheitslücke betrifft BS-Befehl-Injection-Schwachstelle in SAP ECC und SAP S/4HANA (IS-OIL)

Produkt: SAP ECC and SAP S/4HANA (IS-OIL)

Komponente: IS-OIL 600 - 807

Ein Programmfehler im Funktionsbaustein sowie im Report ermöglicht es einem Angreifer, einen beliebigen Betriebssystembefehl in einen ungeschützten Parameter in einer gemeinsamen (Standard-)Erweiterung einzuschleusen.

• Das Problem wird durch einen Programmfehler im Funktionsbaustein und Report verursacht, der einen nicht authentifizierten Zugriff auf den Anwendungsserver ermöglicht.
• Bei erfolgreicher Ausnutzung kann der Angreifer die Systemdaten lesen oder ändern sowie das System herunterfahren.
• Die SAP empfiehlt, die Support Packages einzuspielen oder ein Upgrade durchzuführen.
• Mehr dazu finden Sie unter dem Hinweis: 3350297.

Eine weitere als „Hot News" eingestufte Sicherheitslücke betrifft eine Directory-Traversal-Schwachstelle in SAP NetWeaver (BI_CONT-ADD-ON)

Produkt: SAP NetWeaver (BI CONT ADD ON), Versionen –707, 737, 747, 757

Komponente: BI_CONT 707, 737, 747, 757

• Es besteht eine Verzeichnisaufruf-Sicherheitslücke, die von einem Angreifer mittels eines Reports ausgenutzt werden kann.
• In der Folge können einige Betriebssystemdateien überschrieben werden, was zu einer Systemkompromittierung führt.
• Dies hat Auswirkungen auf die Integrität und Vertraulichkeit des Systems.
• Die SAP empfiehlt die Support Packages einzuspielen oder ein Upgrade durchzuführen.
• Mehr dazu finden Sie unter dem Hinweis: 3350297.

Es besteht eine weitere als „hoch" eingestufte Schwachstelle bezüglich Request-Smuggling und Request-Verkettung in SAP Web Dispatcher

Produkt: SAP Web Dispatcher, Versionen: WEBDISP 7.49, WEBDISP 7.53, WEBDISP 7.54, WEBDISP 7.77, WEBDISP 7.81, WEBDISP 7.85, WEBDISP 7.88, WEBDISP 7.89, WEBDISP 7.90, KERNEL 7.49, KERNEL 7.53, KERNEL 7.54 KERNEL 7.77, KERNEL 7.81, KERNEL 7.85, KERNEL 7.88, KERNEL 7.89, KERNEL 7.90, KRNL64NUC 7.49, KRNL64UC 7.49, KRNL64UC 7.53, HDB 2.00, XS_ADVANCED_RUNTIME 1.00, SAP_EXTENDED_APP_SERVICES 1

Komponente: HDB 2.00, KRNL64NUC 7.49, KRNL64UC 7.49, 7.53, WEBDISP 7.49, 7.53, 7.77, 7.81, 7.85, 7.88, 7.89, 7.54, 7.90, XS_ADVANCED_RUNTIME 1.00, SAP_EXTENDED_APP_SERVICES 1, KERNEL 7.49, 7.53, 7.77, 7.81, 7.85, 7.89, 7.88, 7.90, 7.54

• In SAP NetWeaver AS ABAP und SAP Web Dispatcher kann ein nicht authentifizierter Angreifer eine böswillige Anfrage über ein Netzwerk an einen Frontend-Server senden.
• Bei mehreren Versuchen (Spam) kann das dazu führen, dass ein Backend-Server die Grenzen von schädlichen und legitimen Nachrichten nicht mehr klar trennen kann, was zur Ausführung von schädlichen Payloads führt.
• Diese können verwendet werden, um die Erreichbarkeit des Servers vorübergehend einzuschränken, was erhebliche Auswirkungen auf die Verfügbarkeit des Systems hat.
• Das Problem betrifft den eigenständigen SAP Web Dispatcher, den in der ASCS-Instanz eingebetteten SAP Web Dispatcher, den Internet Communication Manager (ICM) in SAP NetWeaver Application Server ABAP und den in SAP HANA integrierten Web Dispatcher. Die Schwachstelle betrifft nur das HTTP/2-Protokoll. HTTP/1 ist nicht betroffen
• Die SAP empfiehlt die auf den Hinweis 3233899 verwiesene Korrekturanleitung einzuspielen.

Eine weitere als „Hot News" eingestufte Sicherheitslücke betrifft Denial-of-Service-Schwachstelle (DoS) in SAP SQL Anywhere in (Windows only)

Produkt: SAP SQL Anywhere, Versionen -17.0

Komponente: BI_CONT 707, 737, 747, 757

• Die SAP HANA-Datenbank ermöglicht es einem Angreifer durch Crashing des Service rechtmäßige Benutzer davon abzuhalten, auf einen Service zuzugreifen.
• Infolgedessen kann ein Angreifer mit einem Konto mit geringen Berechtigungen und Zugriff auf das lokale System in die Shared-Memory-Objekte schreiben.
• Dies kann von einem Angreifer genutzt werden, um einen Denial-of-Service (DDOS)-Angriff auszuführen.
• Außerdem kann ein Angreifer sensible Daten in Shared-Memory-Objekten ändern, was die Integrität des Systems gefährdet.
• Die SAP empfiehlt auf SAP SQL Anywhere 17.0 SP1 PL11 zu patchen.
• Mehr dazu finden Sie unter dem Hinweis: 3331029.

Eine weitere als „Hot News" eingestufte Sicherheitslücke betrifft nicht authentifizierte blinde SSRF Requests in SAP Solution Manager (Diagnostics-Agent)

Produkt: SAP SQL Anywhere, Versionen -17.0

Komponente: BI_CONT 707, 737, 747, 757

• SAP Solution Manager (Diagnostics-Agent) ermöglicht es einem nicht authentifizierten Angreifer, einen SSRF HTTP-Requests blind auszuführen.
• Die SAP empfiehlt die Komponente SOLMANDIAG 720 zu patchen.
• Die aktuellen Patch-Level finden Sie unter diesem Hinweis: 3352058.

Nähere Informationen zu allen veröffentlichten Sicherheitslücken vom SAP Patch Day Juli finden Sie hier.

Wenn Sie Unterstützung bei der Bewertung der Sicherheitslücken in Bezug auf Ihre Systeme benötigen, wenden Sie sich gern direkt an Herrn René Studtmann unter Rene.Studtmann@cpro-ips.com.