SAP Basis & Security SAP Patch Day September 2021

Die als „Hot News“ veröffentlichten Lücken betreffen dieses Mal folgende Produkte:

Produkt: SAP Business Client, Version – 6.5

Sicherheitsupdates für die mit dem SAP Business Client ausgelieferte Browsersteuerung Google Chromium

• Dieser Sicherheitshinweis betrifft mehrere Schwachstellen im Drittanbieter-Webbrowser-Control Chromium, der im SAP Business Client verwendet werden kann. Dieser Hinweis wird regelmäßig überarbeitet, entsprechend den Updates zu Webbrowsern des Open-Source-Projekts Chromium.
• Das Einspielen der aktuellen Businessclient Patches, wie in dem Hinweis 2622660 beschrieben, behebt diese Sicherheitslücken. Die Patches enthalten das aktuelle stabile Major-Release des Chromium-Browsers, der nach dem SAP Standard geprüft wurde.

Produkt: SAP NetWeaver Application Server Java (JMS Connector Service), Versionen - 7.11, 7.20, 7.30, 7.31, 7.40, 7.50

Fehlende Berechtigungsprüfung im SAP NetWeaver Application Server für Java (JMS Connector Service)

• Der SAP NetWeaver Application Server For Java / JMS Connector Service führt keine notwendigen Berechtigungsprüfungen für Benutzerrechte durch.
• Die Auswirkung der fehlenden Berechtigungsprüfung ist unteranderem der Missbrauch von Funktionen, die auf eine bestimmte Benutzergruppe beschränkt sind. Außerdem wird das Lesen, Ändern oder Löschen von eingeschränkten Dateien mit der Sicherheitslücke möglich.
• Die Behebung der Schwachstelle erfolgt mit dem entsprechenden Patch, wie im Hinweis 3078609 beschrieben.

Produkt: SAP Business One, Version - 10.0

Schwachstelle beim uneingeschränkten Dateiupload in SAP Business One

• UPDATE 24. August 2021: Dieser Hinweis wurde mit aktualisierten "Lösungs"-Informationen neu herausgegeben.
• SAP Business One ermöglicht es einem Angreifer mit Geschäftsberechtigung beliebige Dateien (einschließlich Skriptdateien) ohne ordnungsgemäße Validierung des Dateiformats hochzuladen.
• SAP Business One verbessert die Validierung der zugehörigen Parameter. Das Einspielen der aktuellen SAP Business One Hotfixe, wie im Hinweis 3071984 beschrieben, behebt diese Sicherheitslücke.

 Produkt: SAP S/4HANA, Versionen - 1511, 1610, 1709, 1809, 1909, 2020, 2021

Produkt: SAP LT Replication Server, Versionen - 2.0, 3.0

Produkt: SAP LTRS for S/4HANA, Version - 1.0

Produkt: SAP Test Data Migration Server, Version - 4.0

Produkt: SAP Landscape Transformation, Version - 2.0

SQL-Injektion-Schwachstelle im SAP NZDT Mapping Table Framework

• Aufgrund einer unsachgemäßen Eingabesäuberung kann ein authentifizierter Benutzer mit bestimmten Privilegien die im Lösungsabschnitt aufgeführten NZDT-Funktionsmodule aus der Ferne aufrufen, um eine manipulierte Abfrage auszuführen und so Zugriff auf die Backend-Datenbank zu erhalten. Bei erfolgreicher Ausnutzung der Schwachstelle kann der Angreifer die Vertraulichkeit, Integrität und Verfügbarkeit des Systems vollständig gefährden.
• Die Behebung der Schwachstelle erfolgt mit dem Einbau des Hinweises 3089831.

Produkt: SAP NetWeaver (Visual Composer 7.0 RT), Versionen - 7.30, 7.31, 7.40, 7.50

Schwachstelle beim uneingeschränkten Dateiupload in SAP NetWeaver (Visual Composer 7.0 RT)

• Der SAP NetWeaver Visual Composer ermöglicht es einem Angreifer, der als nichtadministrativer Benutzer authentifiziert ist, eine bösartige Datei über ein Netzwerk hochzuladen und ihre Verarbeitung auszulösen, die Betriebssystembefehle mit den Rechten des Java-Server-Prozesses ausführen kann. Diese Befehle können dazu verwendet werden, Informationen auf dem Server zu lesen oder zu ändern oder den Server herunterzufahren, sodass er nicht mehr verfügbar ist.
• Die Behebung der Schwachstelle erfolgt mit der Korrektur Anweisung, die im Hinweis 3084487 beschrieben wird.

Produkt: SAP NetWeaver Knowledge Management XML Forms, Versionen - 7.10, 7.11, 7.30, 7.31, 7.40, 7.50

Code-Injection-Schwachstelle im SAP NetWeaver Knowledge Management (XMLForms)

• Das SAP Netweaver Portal enthält eine XSLT-Schwachstelle, die es einem nicht-administrativen, authentifizierten Angreifer ermöglicht eine bösartige XSL-Stylesheet-Datei zu erstellen. Die Datei kann ein Skript mit Befehlen auf Betriebssystemebene enthalten. Der Angreifer kann die Datei an einen Ort kopieren, auf den das System zugreifen kann, um dann eine Datei zu erstellen, die die XSLT-Engine veranlasst das in der bösartigen XSL-Datei enthaltene Skript auszuführen. Dies kann zu einer vollständigen Beeinträchtigung der Vertraulichkeit, Integrität und Verfügbarkeit des Systems führen.
• Die Behebung der Schwachstelle erfolgt mit dem Einspielen des entsprechenden Support Packages, wie im Hinweis 3081888 beschrieben.

Produkt: SAP Contact Center, Version - 700

Mehrere Sicherheitslücken im SAP Contact Center

• Dieser SAP-Sicherheitshinweis behandelt mehrere Schwachstellen, die im SAP-Contact-Center identifiziert wurden. Die Details zu den Schwachstellen, sowie die CVE-relevanten Informationen finden Sie hier:
• Aufgrund der fehlenden Codierung in der Communication Desktop-Komponente vom SAP-Contact-Center kann ein Angreifer ein bösartiges Skript in einer Chat-Nachricht versenden. Wenn die Nachricht vom Chat-Empfänger akzeptiert wird, wird das Skript in dessen Bereich ausgeführt.
• Aufgrund der Verwendung von ActiveX in der Anwendung, kann der Angreifer außerdem Befehle auf Betriebssystemebene im Bereich des Chat-Empfängers ausführen. Dies könnte zu einer vollständigen Beeinträchtigung der Vertraulichkeit und Integrität der Daten führen und vorübergehend ihre Verfügbarkeit beeinträchtigen. Unter bestimmten Bedingungen verschlüsselt das SAP-Contact-Center benutzergesteuerte Eingaben nicht ausreichend und speichert sie weiter. Dies ermöglicht es einem Angreifer eine Stored Cross-Site Scripting (XSS)-Schwachstelle auszunutzen, um das Mitarbeiterverzeichnis zu durchsuchen und beliebigen Code im Browser des Opfers auszuführen.
• Aufgrund der Verwendung von ActiveX in der Anwendung kann der Angreifer außerdem Befehle auf Betriebssystemebene ausführen. Unter bestimmten Bedingungen verschlüsselt das SAP-Contact-Center benutzergesteuerte Eingaben nicht ausreichend. Dies erlaubt es einem Angreifer eine Reflected Cross-Site Scripting (XSS) Schwachstelle beim Erstellen einer neuen E-Mail auszunutzen und beliebigen Code im Browser des Opfers auszuführen. Eine Reflected Cross-Site Scripting (XSS) Schwachstelle kann auch durch Phishing ausgenutzt werden, um beliebigen Code im Browser des Opfers auszuführen.
• Das Einspielen der aktuellen Hotfixes, wie im Hinweis 3073891 beschrieben, behebt diese Sicherheitslücke.

Weitere Sicherheitslücken mit der Einstufung High betreffen außerdem folgendes Produkt:

Produkt: SAP Web Dispatcher, Versionen - WEBDISP - 7.49, 7.53, 7.77, 7.81, KRNL64NUC - 7.22, 7.22EXT, 7.49, KRNL64UC -7.22, 7.22EXT, 7.49, 7.53, KERNEL - 7.22, 7.49, 7.53, 7.77, 7.81, 7.83

HTTP-Request-Schmuggel im SAP Web Dispatcher

• Ein nicht authentifizierter Angreifer kann eine in böser Absicht erstellte Anfrage über ein Netzwerk an einen Front-End-Server übermitteln, was bei einer Reihe von Versuchen dazu führen kann, dass ein Back-End-Server die Grenzen zwischen bösartigen und legitimen Nachrichten verwechselt. Dies kann dazu führen, dass der Back-End-Server eine bösartige Nutzlast ausführt, die dazu verwendet werden kann, Informationen auf dem Server zu lesen oder zu ändern oder Serverressourcen zu verbrauchen, sodass er vorübergehend nicht verfügbar ist.
• Die Behebung der Schwachstelle erfolgt mit dem Einspielen des entsprechenden Updates für den SAP Web Dispatcher, wie im Hinweis 3080567 beschrieben.

Produkt: SAP CommonCryptoLib, Versionen - 8.5.38 oder kleiner

Null-Zeiger-Dereferenz-Schwachstelle in der SAP CommonCryptoLib

Unter bestimmten Bedingungen kodiert das NetWeaver Enterprise Portal URL-Parameter nicht ausreichend. Ein Angreifer kann einen bösartigen Link erstellen und ihn an ein Opfer senden. Ein erfolgreicher Angriff führt zu einer Cross-Site Scripting (XSS)-Schwachstelle.

Die Behebung der Schwachstelle erfolgt mit der Korrektur Anweisung, die im Hinweis 3051787 beschrieben wird.

Nähere Informationen zu allen veröffentlichten Sicherheitslücken des SAP Patch Days September finden Sie hier.

Wenn Sie Unterstützung bei der Bewertung der Sicherheitslücken in Bezug auf Ihre Systeme benötigen, wenden Sie sich gern direkt an Herrn René Studtmann unter Rene.Studtmann@cpro-ips.com.

Stand: 12. September 2021