Kontakt & Service
Jetzt Beratung vereinbaren

In wenigen Schritten einen Beratungs­termin mit unseren Experten buchen.

Anwender Helpdesk

Hilfestellung bei Problemen in Ihren SAP-Systemen.

Webinare

Unser Webinarangebot. Jetzt informieren!

Newsletter

Jetzt Newsletter abonnieren!

SAP Basis & Security SAP Patch Day Oktober 2022

Die als „Hot News“ veröffentlichten Lücken betreffen dieses Mal folgendes Produkt:

Produkt: SAP Manufacturing Execution, Versions -15.1, 15.2, 15.3

Durch einen fehlenden Parameter im Quelltext von SAP Manufacturing Execution besteht folgende Schwachstelle:

  • Ein Angreifer kann durch die unzureichende Validierung eines Dateipfadforderungsparameters auf sämtliche Verzeichnisse und Dateien auf dem Server Zugriff bekommen.
  • Die SAP empfiehlt die aktuellen Support Packages und Patches einzuspielen, da diese durch eine Quelltextkorrektur die Schwachstelle beheben werden.
  • Mehr dazu finden Sie unter dem Hinweis 3242933

Eine weitere Hot News Schwachstelle betrifft das Anmeldeformular in SAP Commerce

Produkt: SAP Commerce, Version 1905, 2005, 2105, 2011, 2205

Komponente: HY_COM 1905, 2025, 2105, 2011, 2205

  • Durch eine Schwachstelle in der Komponente SAP Commerce kann ein Angreifer den Inhalt einer SAP-Commerce-Anmeldeseite über eine manipulierte URL ändern.
  • Ein Angreifer kann Code einschleusen mit welchem er gesendete Daten vom betroffenem Anmeldeformular auf seinen eigenen Server umleiten kann, wodurch Konten gestohlen werden können.
  • Die SAP empfiehlt die aktuellsten SAP Commerce Patches einzuspielen.
  • Mehr dazu finden Sie unter dem Hinweis 3239152  

Eine weitere Schwachstelle besteht durch die Offenlegung von Informationen in SAP Business Intelligence

Produkt: SAP BusinessObjects Intelligence Platform (Program Objects) Versionen 420, 430

  • Aufgrund falsch konfigurierter Endpunkte kann ein Angreifer mit Administratorberechtigungen Zugriff auf die Credentials des Betriebssystems erhalten.
  • Der Zugriff auf diese Admin Anmeldedaten ermöglicht es dem Angreifer Systemdaten zu ändern und die Verfügbarkeit des Systems zu bedrohen.
  • Die SAP empfiehlt die neusten Support Packages und Patches einzuspielen um diese Schwachstelle zu beheben.
  • Mehr dazu finden Sie unter dem Hinweis 3229132

Eine weitere Schwachstelle betrifft eine ältere Sicherheitslücke aus August, die SAP BusinessObjects, Business Intelligence Platform (MonitoringDB)

Produkt: SAP Business Objects Platform (CommentaryDB), Version -430

Komponente: SAP ENTERPRISE -420, 430

  • Ein Angreifer kann sich als CMS (Central Manage Server) -Administrator authentifizieren und auf die BOE-Kommentar-Datenbank zugreifen. Dadurch kann diese vertraulichen Systemdaten einsehen was Auswirkungen auf die Integrität des Systems und die Daten hat.
  • Die Sap empfiehlt die aktuellen Support Packages einzuspielen um die Sicherheitslücke zu schließen
  • Mehr dazu finden Sie unter dem Hinweis 3213507 

Eine weitere Schwachstelle betrifft eine Sicherheitslücke für den SAP-SQL Anywhere und SAP-IQ Datenbankserver

Produkt: SAP SQL Anywhere, Version – 17.0, SAP IQ, Version 16.1

  • Werden die SAP SQL-Anywhere und SAP-IQ-Datenbankserver mit einer Serverdebugging-option ausgeführt, sind diese anfällig für Pufferüberlauf Angriffe.
  • Durch einen Stack basierten Pufferüberlauf kann ein Angreifer nicht autorisierte Daten Lesen und Ändern, wodurch die Verfügbarkeit des Systems gefährdet ist.
  • Die SAP empfiehlt die geeignete korrigierte Produktversion für Ihre Produktivumgebung zu installieren. SAP SQL Anywhere 17.0 SP1 PL05 oder höher und SAP IQ 16.1 SP04 PL14 oder SAP IQ 16.1 SP05 PL04
  • Mehr dazu finden Sie unter dem Hinweis 3232021

Eine weitere Schwachstelle betrifft die Offenlegung von Informationen in SAP BusinessObjects, Business Intelligence (AdminTools/Query Builder)

Produkt: SAP BusinessObjects Business Intelligence Platform (Admin Tools/Query Builder), Versions–420, 430

  • Unter bestimmten Bedingungen ermöglicht BOE AdminTools/BOE SDK es einem Angreifer den Zugriff auf Informationen zu erhalten welche normalerweise eingeschränkt sein sollten.
  • Die Schwachstelle wird laut der SAP mit einspielen der aktuellen Support Packages und Patches behoben.
  • Mehr dazu finden Sie unter dem Hinweis 3239293

Es wurden mehrere Schwachstellen im SAP 3D Visual Enterprise Viewer gefunden.

Produkt: Product-SAP 3D Visual Enterprise Viewer, Version -9

  • Wenn manipulierte Dateien welche im SAP 3D Visual Viewer von einem Angreifer abgelegt wurden geöffnet werden, kann ein Angreifer einen eingepflegten Code ausführen.
  • Dadurch kann es zum Aufhängen-, oder einem Absturz des Programms kommen.
  • Die Sicherheitslücke wird durch die aktuellen Support Packages und Patches geschlossen.
  • Mehr dazu finden Sie unter dem Hinweis 3245928 und 3245929

Nähere Informationen zu allen veröffentlichten Sicherheitslücken vom SAP Patch Day Oktober finden Sie hier.

Wenn Sie Unterstützung bei der Bewertung der Sicherheitslücken in Bezug auf Ihre Systeme benötigen, wenden Sie sich gern direkt an Herrn René Studtmann unter Rene.Studtmann@cpro-ips.com.

 

Newsletter Setzen Sie auf fundiertes Wissen aus allen Bereichen unserer Branche. Regelmäßig und stets aktuell.
Beratende Person
Kontakt Haben Sie Fragen oder wünschen weitere Informationen? Unsere Experten beraten Sie gerne.