SAP Basis & Security SAP Patch Day September 2023

Die als „Hot News“ veröffentlichten Sicherheitslücken betreffen dieses Mal folgende Produkte:

Produkt: SAP Business Client, Versionen -6.5, 7.0, 7.70

Komponente: BC-WD-CLT-BUS 6.5, 7.0, 7.70

Im Drittanbieter-Webbrowser-Control Chromium bestehen Sicherheitslücken. Wenn das SAP Business Client Release nicht auf dem aktuellen Patch-Level ist, können bei der Anzeige von Webseiten Schwachstellen im Open-Source-Browser-Controls auftreten.

• Diese reichen von Speicherschäden bis zur Offenlegung sensibler Informationen. Mögliche Folgen sind die Offenlegung von Systeminformationen, Systemabstürze sowie Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit des Systems.
• Die SAP empfiehlt den aktuellen Patch-Level der Software-Komponenten der verwendeten SAP BUSINESS CLIENT Versionen einzuspielen.
• Mehr dazu finden Sie unter dem Hinweis: 2622660.

Eine weitere als „Hot News" eingestufte Sicherheitslücke ist die Offenlegung von Informationen in der SAP BusinessObjects Business Intelligence Platform (Promotion Management)

Produkt: SAP BusinessObjects Business Intelligence Platform (Promotion Management), Versionen -420, 430

Komponente: ENTERPRISE 320.430

Eine Schwachstelle in SAP BusinessObjects Business Intelligence (Promotion Management) eröffnet einem authentifizierten Angreifer die Möglichkeit, vertrauliche Informationen einzusehen, die normalerweise eingeschränkt sind.

• Nach erfolgreicher Ausnutzung dieser Schwachstelle kann der Angreifer die Anwendung vollständig kompromittieren. Dies hätte erhebliche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
• Die SAP empfiehlt die Anzeigeberechtigungen der für Promotionen berechtigten Benutzer anzupassen.
• Die SAP empfiehlt die im Hinweis aufgelisteten Patches einzuspielen oder den Workaround umzusetzen. Hier müsste jedoch geprüft werden, ob dieser für Ihre Systemlandschaft anwendbar ist.
• Mehr dazu finden Sie unter dem Hinweis: 3320355.

Falsche Zugriffskontrolle in SAP NetWeaver AS Java (benutzerdefinierte Suche)

Produkt: AP NetWeaver Process Integration, Version -7.50

Komponente: MESSAGING 7.50

Ein nicht authentifizierter Angreifer kann sich über eine offene Schnittstelle an die User Defined Search (UDS) von SAP NetWeaver AS anhängen. Dadurch kann er unberechtigte Vorgänge anstoßen, die Benutzer und Daten im System betreffen.

• Der Angreifer erhält Zugriff auf Benutzerdaten, kann Änderungen vornehmen und die Systemleistung beeinträchtigen.
• Dies gefährdet die Vertraulichkeit stark und hat begrenzte Auswirkungen auf Verfügbarkeit und Integrität der Anwendung.
• Die SAP empfiehlt die in dem Hinweis aufgeführten Korrekturen einzuspielen.
• Die Korrektur umfasst Berechtigungsprüfungen in allen betroffenen öffentlichen Methoden. Für die öffentlichen Methoden sind zwei Aktionen definiert: Lesen und Schreiben.
• Die Patches sowie weitere Informationen finden Sie unter dem Hinweis: 3273480.

Eine weitere „Hot News" eingestufte Sicherheitslücke ist eine Code-Injection-Schwachstelle in der SAP BusinessObjects Business Intelligence-Plattform (CMC)

Produkt: SAP BusinessObjects Business Intelligence Platform (CMC), Versionen -420, 430

Komponente: ENTERPRISE 420 - 430

• Es besteht eine Sicherheitslücke, die durch Ausführung von Programmobjekten auf der SAP BusinessObjects Business Intelligence-Plattform (CMC) zu einer Code-Injection-Schwachstelle führt.
• Diese ermöglicht einem Angreifer den Zugriff auf Ressourcen, für die zusätzliche Berechtigungen notwendig sind.
• Ein erfolgreicher Angriff kann erhebliche Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit des Systems haben.
• Die SAP hat diese Sicherheitslücke mit den aktuellen Patches behoben.
• Die SAP empfiehlt die aktuellen Patches einzuspielen.
• Mehr dazu finden Sie unter dem Hinweis: 3245526.

Eine weitere als „Hot News" eingestufte Sicherheitslücke betrifft eine fehlende Berechtigungsprüfung in SAP CommonCryptoLib

Produkt: SAP PowerDesigner, Version: 16.7

• Die Ausführung von Programmobjekten auf der SAP BusinessObjects Business Intelligence-Plattform (CMC) kann in bestimmten Szenarien zu einer Code-Injection-Schwachstelle führen.
• Durch die fehlende Berechtigungsprüfung kann ein Angreifer auf Ressourcen zugreifen, für die normalerweise zusätzliche Berechtigungen erforderlich sind.
• Ein erfolgreicher Angriff könnte die Vertraulichkeit, Integrität und Verfügbarkeit des Systems erheblich beeinträchtigen.
• Mehr dazu finden Sie unter folgendem Hinweis: 3340576.
• Die SAP empfiehlt: Laden Sie CommonCryptoLib 8.5.50 (oder eine neuere Version) herunter und installieren Sie diese.
• Mehr dazu finden Sie unter folgendem Hinweis: 3340576.

Es besteht eine weitere als „hoch" eingestufte Schwachstelle durch eine unzureichende Dateityp-Validierung in der SAP BusinessObjects Business Intelligence-Plattform (Web-Intelligence-HTML-Schnittstelle)

Produkt: SAP BusinessObjects Business Intelligence Platform (Web Intelligence HTML interface), Version: 420

Komponente: ENTERPRISE 420

• Aufgrund einer mangelnden Validierung des Dateityps ermöglicht die SAP BusinessObjects Business Intelligence-Plattform (Web-Intelligence-HTML-Schnittstelle) einem Berichtsersteller das Hochladen von Dateien aus dem lokalen System über das Netzwerk in den Bericht.
• Durch das Hochladen einer Bilddatei kann ein authentifizierter Angreifer die Anfrage abfangen, den Inhaltstyp sowie die Erweiterung ändern, um auf sensible Daten zuzugreifen und diese zu verändern.
• Dies hat erhebliche Auswirkungen auf die Vertraulichkeit und Integrität der Anwendung.
• Die SAP empfiehlt die Patches zu installieren, da hier nur der Typ der autorisierten Datei zulässig ist.
• Mehr dazu finden Sie unter folgendem Hinweis: 3370490.

Eine weitere als „Hot News" eingestufte Sicherheitslücke betrifft eine Speicherbeschädigungsschwachstelle in SAP CommonCryptoLib

Produkt: SAP CommonCryptoLib, Version: 8

Produkt: S SAP NetWeaver AS ABAP, SAP NetWeaver AS Java and ABAP Platform of S/4HANA on-premise, Versionen: KERNEL 7.22, KERNEL 7.53, KERNEL 7.54, KERNEL 7.77, KERNEL 7.85, KERNEL 7.89, KERNEL 7.91, KERNEL 7.92, KERNEL 7.93, KERNEL 7.22, KERNEL 8.04, KERNEL64UC 7.22, KERNEL64UC 7.22EXT, KERNEL64UC 7.53, KERNEL64UC 8.04, KERNEL64NUC 7.22, KERNEL64NUC 7.22EXT

Produkt: SAP Web Dispatcher, Versionen: 7.22EXT, 7.53, 7.54, 7.77, 7.85, 7.89. Produkt: SAPContent Server, Versionen: Versions -6.50, 7.53, 7.54          

Produkt: SAPHANA Database, Version: 2.0    

Produkt: SAP Host Agent, Version: 722 

Produkt: SAPExtended Application Services and Runtime (XSA), Versionen: SAP_EXTENDED_APP_SERVICES 1, XS_ADVANCED_RUNTIME 1.00   

Produkt: SAPSSOEXT, Version 17

Komponente: HDB 2.00, KRNL64NUC 7.22,722EXT, KRNL64UC 8.04, 7.22, 7.22EXT, 7.53, WEBDISP 7.53, 7.77, 7.85, 7.22_EXT, 7.89, 7.54, XS_ADVANCED_RUNTIME 1.00, SAP_EXTENDED_APP_SERVICES 1, CONTSERV 6.50, 7.53, 7.54, SAPSSOEXT 17, CRYPTOLIB 8, SAPHOSTAGENT 7.22, KERNEL 7.22, 8.04, 7.53, 7.77, 7.85, 7.89, 7.54, 7.91, 7.92, 7.93.

• SAP CommonCryptoLib erlaubt einem nicht authentifizierten Angreifer die Erstellung einer Anforderung. Wenn diese an einen offenen Port gesendet wird, verursacht sie einen Speicherbeschädigungsfehler in einer Bibliothek.
• Dies führt dazu, dass die Zielkomponente abstürzt und nicht mehr verfügbar ist und es besteht keine Möglichkeit, Informationen anzuzeigen oder zu ändern.
• Dieses Problem wird durch eine verbesserte Prüfung der Benutzerrechte behoben.
• Die SAP empfiehlt CommonCryptoLib 8.5.49 (oder eine neuere Version) herunterzuladen und zu installieren.
• Alternativ empfiehlt die SAP ein Kernel SP Stack Upgrade durchzuführen, da hier die Änderungen ausgeliefert werden.
• Prüfen Sie alle Komponenten, ob diese dem aktuellen Patch-Level entsprechen.
• Die aktuellen Patches sowie mehr finden Sie unter dem Hinweis: 3327896.

Nähere Informationen zu allen veröffentlichten Sicherheitslücken vom SAP Patch Day September finden Sie hier.

Wenn Sie Unterstützung bei der Bewertung der Sicherheitslücken in Bezug auf Ihre Systeme benötigen, wenden Sie sich gern direkt an Herrn René Studtmann unter Rene.Studtmann@cpro-ips.com.