SAP Basis & Security SAP Patch Day Mai 2023

Die als „Hot News“ veröffentlichten Sicherheitslücken betreffen dieses Mal folgendes Produkt:

Produkt: SAP 3D Visual Enterprise License Manager, Version –15

Komponente: LM-SERVICE 7.20

Im Reprise License Manager 14.2, der im Programm SAP 3D Visual Enterprise License Manager genutzt wird, besteht eine Schwachstelle in der Sicherheit:

• Durch diese Schwachstelle ist die Vertraulichkeit und Integrität des Systems gefährdet.

• Die SAP empfiehlt die aktuellste Version von SAP 3D Visual Enterprise License Manager (Version 15.0.1-sap2) zu installieren, um die Schwachstelle zu schließen.

• Mehr dazu finden Sie unter dem Hinweis 3328495.

Eine weitere als „Hot News" eingestufte Sicherheitslücke betrifft mehrere Schwachstellen, die beim Nutzen von Browser Control Google Chromium in Verbindung mit dem SAP Business Client aufgetreten sind.

Produkt: SAP Business Client, Versionen -6.5, 7.0, 7.70

Komponente: SAP BUSINESS CLIENT 6.5 SP005 – SP022, SAP BUSINESS CLIENT 7.0 SP000 – SP001

Im Dritthersteller-Browser Google Chromium bestehen mehrere Schwachstellen im Sicherheitsbereich.

• Hierdurch bestehen im SAP Business Client durch die Open-Source-Browser-Control verschiedene Schwachstellen, die zu Speicherschäden, der Offenlegung von Informationen im System oder sogar zum Systemabsturz führen können.
• Die SAP empfiehlt die aktuellsten Patche für den SAP Business Client zu installieren, da diese alle das neueste und stabile Major-Release des Browser-Controls Chromium enthalten.
• Mehr dazu finden Sie unter dem Hinweis: 2622660.

Eine weitere als „Hot News" eingestufte Sicherheitslücke betrifft eine falsche Zugriffskontrolle beim Anwendungsstart in SAP AS NetWeaver Java

Produkt: SAP AS NetWeaver Java, Versions -SERVERCORE 7.50, J2EE-FRMW 7.50, CORE-TOOLS 7.50

Komponente: SERVERCORE 7.50, J2EE-FRMW 750, CORE-TOOLS 7.50

• Ein Angreifer kann sich an eine offene Schnittstelle anhängen und ein offenes Namens- und Verzeichnis-API verwenden, um ein Objekt zu instanziieren, das über Methoden verfügt, die ohne weitere Berechtigung und Authentifizierung aufgerufen werden können.
• Mittels eines nachfolgenden Aufrufs einer solchen Methode kann der Zustand eines vorhandenen Services ohne Auswirkung auf die Verfügbarkeit gelesen oder geändert werden.
• Die SAP empfiehlt für SAP NetWeaver Application Server Java das aktuellste Support Package einzuspielen.
• Mehr dazu finden Sie unter dem Hinweis: 3317453.

Eine weitere als „Hot News" eingestufte Sicherheitslücke besteht im Hinblick auf eine Berechtigungseskalation in SAP IBP, Add-On für Microsoft Excel

Produkt: SAP IBP EXCEL ADD-IN, Versions–2211, 2302, 2305

Komponente: SOP_EXCEL_ADDON 3.0 - 234

• Aufgrund einer Sicherheitslücke im Installationsprogramm von SAP IBP, Add-On für Microsoft Excel (Excel-Add-On) kann ein authentifizierter Angreifer eine benutzerdefinierte InstallScript-Aktion zu einem Basis-MSI- oder InstallScript-MSI-Projekt hinzufügen, die während der Installationszeit einige Binärdateien in einen vordefinierten beschreibbaren Ordner extrahiert, was eine Berechtigungseskalation zur Folge haben kann.
• Hierdurch kann ein Angreifer einen Administrator-Code ausführen.
• Prüfen Sie, ob Sie das Excel-Add-On vorher schon installiert haben, da diese Schwachstelle nur neu gestartete Installationen betrifft.
• Eine von Revenera (Installationssoftware) bereitgestellte Korrektur steht mit Version 2211.3.0, 2302.4.0 und allen neueren Versionen des Excel-Add-Ons zur Verfügung. Verwenden Sie diese Versionen für Neuinstallationen.
• Mit der bereitgestellten Korrektur werden die Verzeichnisse in einen randomisierten Speicherort geändert, sowohl bei der Installation als normaler Benutzer als auch bei der Installation als SYSTEM-Benutzer.
• Mehr dazu finden Sie unter dem Hinweis: 3323415.

Eine weitere als „Hot News" eingestufte Schwachstelle betrifft die Offenlegung von Informationen in der SAP BusinessObjects Intelligence Platform

Produkt: SAP BusinessObjects Intelligence Platform, Versions –430

Komponente: ENTERPRISE 420-430

• Ein Angreifer, der als authentifizierter Benutzer angemeldet ist, kann das Anmeldetoken eines beliebigen angemeldeten BI-Benutzers oder -Servers über das Netzwerk ohne Benutzerinteraktion abrufen.
• Dies ermöglicht es dem Angreifer, sich als jeder Benutzer auf der Plattform ausgeben, um auf Daten zuzugreifen und diese zu ändern. Der Angreifer kann das System auch teilweise oder vollständig unverfügbar machen.
• Die SAP empfiehlt die im Hinweis beigefügten Support Packages und Patches einzuspielen, welche die Sicherheitslücke schließen.
• Mehr dazu finden Sie unter dem Hinweis: 3307833.

Eine als „hoch" eingestufte Schwachstelle besteht durch eine Speicherbeschädigungsschwachstelle in SAP PowerDesigner (Proxy)

Produkt: SAP PowerDesigner (Proxy), Version -16.7

Komponente: SYBASE POWERDESIGNER PROXY 16.7

• In SAP PowerDesigner kann ein Angreifer eine gezielte Anforderung von einem Remote-Host an den Proxy-Server senden, der eine fehlerhafte Implementierung der Speicherverwaltung aufweist, wodurch es zu einer Speicherbeschädigung kommt, die den Proxy Server abstürzen lässt. Dies hat große Auswirkungen auf die Verfügbarkeit der Anwendung.
• Die SAP empfiehlt auf SAP PowerDesigner Proxy 16.7 SP06 PL03 oder höher zu upgraden.
• Mehr dazu finden Sie unter dem Hinweis 3300624.

Eine als „hoch" eingestufte Schwachstelle besteht durch eine mögliche Denial-of-Service (DOS)-Attacke in SAP Commerce

Produkt: SAP Commerce, Versions–2105, 2205, SAP Commerce, Version –2211

Komponente: HY_COM, COM_CLOUD

• Da SAP Commerce XStream verwendet, kann ein Angreifer rechtmäßige Benutzer daran hindern, auf einen Service zuzugreifen, indem er die Anwendung mit einem Stack-Überlauffehler abbricht (DDoS-Abgriff). Dies hat direkte Auswirkungen auf die Verfügbarkeit des Systems, da ein unkontrollierbarer Ressourcenverbrauch eintreten kann, was zur Ressourcenerschöpfung und zum Systemabsturz führen kann.
• Die SAP empfiehlt, die aktuellen Versionen von SAP Commerce Cloud Patch-Release 2105.21, SAP Commerce Cloud Patch-Release 2205.10, SAP Commerce Cloud Patch Release 2211.4 einzuspielen.
• Mehr dazu finden Sie unter dem Hinweis 3320145.

Nähere Informationen zu allen veröffentlichten Sicherheitslücken vom SAP Patch Day Mai finden Sie hier.

Wenn Sie Unterstützung bei der Bewertung der Sicherheitslücken in Bezug auf Ihre Systeme benötigen, wenden Sie sich gern direkt an Herrn René Studtmann unter Rene.Studtmann@cpro-ips.com.