Inhaltsverzeichnis
Kritisch (Hot News): Speicherbeschädigung in SAP Extended Passport (EPP) Processing
Produkt: SAP Extended Passport (EPP) Processing, Versionen – KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, 8.04, WEBDISP 9.16, 9.18, 9.19, 9.20, KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18, 9.19, 9.20
In der Verarbeitung des Extended Passport Protocol liegt mit CVE-2026-44756 eine Schwachstelle vor, die zu Speicherbeschädigung führen kann. Ein nicht authentifizierter Angreifer kann vor der Anmeldung eine präparierte Netzwerkanfrage mit fehlerhaftem EPP-Header senden. Die Schwachstelle wurde mit einem CVSS Score von 10,0 (kritisch) bewertet.
Eine erfolgreiche Ausnutzung kann die Vertraulichkeit, Integrität und Verfügbarkeit stark beeinträchtigen und zu undefiniertem Verhalten oder einem unerwarteten Programmabbruch führen. Ursache ist eine fehlende Grenzprüfung bei der Deserialisierung extern übermittelter Längenfelder.
Die angegebenen Kernel- beziehungsweise Web-Dispatcher-Patches ergänzen die erforderliche Prüfung dieser Längenfelder. Bei einem eigenständigen SAP Web Dispatcher ist laut Hinweis nur Version 9.16 betroffen; andere Web-Dispatcher-Versionen und der SAP Web Dispatcher der SAP HANA Extended Application Services sind nicht betroffen. SAP empfiehlt außerdem, den SAP Host Agent auf den neuesten Patchstand zu bringen. Ein temporärer Workaround ist ausschließlich für HTTP-Verkehr verfügbar, der über den SAP Web Dispatcher eingeht. Prüfen Sie vor der Umsetzung, ob dieser Workaround zu Ihrer Landschaft passt.
Mehr dazu finden Sie unter dem Hinweis: 3747649
Kritisch (Hot News): Fehlende Authentifizierung im SAP NetWeaver Message Server
Produkt: SAP NetWeaver (Message Server), Versionen – KERNEL 9.16, 9.18, 9.19, 9.20
Der SAP NetWeaver Message Server authentifiziert interne Application-Server-Komponenten bei der Registrierung nicht ausreichend. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann eine unberechtigte Komponente registrieren und potenziell nicht autorisierte Aktionen ausführen. Die Schwachstelle wurde mit einem CVSS Score von 9,8 (kritisch) bewertet.
Die Ausnutzung kann Vertraulichkeit, Integrität und Verfügbarkeit stark beeinträchtigen. Als Ursache nennt SAP eine unzureichende Authentifizierung, durch die der Message Server Verbindungen eines erreichbaren manipulierten ASCS-Servers akzeptiert.
Die Kernel-Korrektur stärkt die Authentifizierung interner Komponenten und beschränkt unberechtigte Verbindungen zum Message Server. Laut SAP steht kein Workaround zur Verfügung. Spielen Sie daher den bereitgestellten Kernel-Patch ein.
Mehr dazu finden Sie unter dem Hinweis: 3759472
Kritisch (Hot News): Offenlegung von Zugangsdaten im SAP Cloud Application Programming Model
Produkt: SAP Cloud Application Programming Model (CAP), Bibliothek @sap/cds-mtxs, Versionen – <=1.18.3, <=2.7.6, <=3.9.6, <=4.0.2
Die NPM-Bibliothek @sap/cds-mtxs prüft bestimmte Funktionen in mandantenfähigen CAP-Anwendungen mit aktivierter Erweiterbarkeit nicht ausreichend. Ein nicht authentifizierter Angreifer kann über präparierte Anfragen sensible Zugangsdaten erlangen und damit Mandantendaten ersetzen oder löschen. Die Schwachstelle wurde mit einem CVSS Score von 9,4 (kritisch) bewertet.
Betroffen sind mandantenfähige CAP-Anwendungen, die eine betroffene Version von @sap/cds-mtxs und konfigurierte Erweiterbarkeitsdienste verwenden. Dies gilt auch für CAP-Java-Anwendungen, wenn die Bibliothek im Ordner mtx/sidecar eingesetzt wird. Die Auswirkungen auf Integrität und Verfügbarkeit sind hoch, die Vertraulichkeit kann teilweise beeinträchtigt werden.
Aktualisieren Sie @sap/cds-mtxs je Hauptversion mindestens auf 1.18.4, 2.7.7, 3.9.7 beziehungsweise 4.0.3 und stellen Sie die Anwendung anschließend neu bereit. In SAP BTP Cloud Foundry blockiert SAP die betroffenen Endpunkte zentral. Für Kunden außerhalb von Cloud Foundry beschreibt SAP einen temporären Workaround in der zugehörigen FAQ.
Mehr dazu finden Sie unter dem Hinweis: 3798315
Kritisch (Hot News): Unzureichende Zugriffskontrolle in SAP NetWeaver SAP GUI for Java
Produkt: SAP NetWeaver (SAP GUI for Java), Versionen – BC-FES-JAV 8.10
SAP GUI for Java setzt die Vertrauensstufenrichtlinie für bestimmte Funktionen, die ein verbundenes Backend aufruft, nicht korrekt durch. Ein Angreifer mit geringen Berechtigungen kann die Schwachstelle ausnutzen, indem er ein verbundenes Backend manipuliert. Die Schwachstelle wurde mit einem CVSS Score von 9,0 (kritisch) bewertet.
Für einen erfolgreichen Angriff muss der Angreifer eine Nutzlast in Transaktionen eines nicht vertrauenswürdigen ABAP-Systems platzieren oder das Opfer zu deren Eingabe bewegen. Danach kann beliebiger Code auf dem Rechner des Opfers ausgeführt werden, was Vertraulichkeit, Integrität und Verfügbarkeit stark beeinträchtigt.
Der Patch sorgt dafür, dass SAP GUI for Java die aufgerufene Funktion gegen die Vertrauensstufe des jeweiligen Systems prüft. Implementieren Sie die im Hinweis genannten Support Packages und Patches. Laut SAP ist kein Workaround verfügbar.
Mehr dazu finden Sie unter dem Hinweis: 3781729
Hoch: Rechteausweitung in SAP ABAP Developer Tools
Produkt: SAP ABAP Developer Tools, Versionen – SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918, SAP_BASIS 920
Dieser bereits im August veröffentlichte Hinweis zu CVE-2026-58243 wurde am 8. September 2026 erneut veröffentlicht. Laut Änderungsprotokoll wurde der Abschnitt „Solution“ aktualisiert. Die Schwachstelle bleibt mit einem CVSS Score von 8,8 (hoch) bewertet.
Über Host-Ausdrücke in SQL-Anweisungen ließ sich der vorgesehene Funktionsumfang der SQL Console in den SAP ABAP Developer Tools umgehen. Ein Angreifer mit geringen Berechtigungen kann dadurch unberechtigte Datenbankoperationen ausführen. Vertraulichkeit, Integrität und Verfügbarkeit können stark beeinträchtigt werden.
Die korrigierte SQL Console schränkt Host-Ausdrücke ordnungsgemäß ein. Implementieren Sie die angegebenen Korrekturanweisungen oder Support Packages und Patches. Weisen Sie die Berechtigungsobjekte S_TABU_NAM und S_TABU_DIS als vorübergehende Schutzmaßnahme keinem Benutzer zu.
Mehr dazu finden Sie unter dem Hinweis: 3772411
Hoch: XML External Entity in SAP Integration Suite
Produkt: SAP Integration Suite, Versionen – Cloud Integration - Trading Partner Management V2 2.9.2, B2B Integration Factory - Cloud Integration - Trading Partner Management 1.10.0
Bestimmte interne Komponenten der SAP Integration Suite validieren XML-Dokumente aus nicht vertrauenswürdigen Quellen nicht ausreichend. Ein Angreifer mit geringen Berechtigungen kann präparierte XML-Daten mit externen Entitäten einreichen. Die Schwachstelle wurde mit einem CVSS Score von 8,5 (hoch) bewertet.
Die Schwachstelle setzt voraus, dass Trading Partner Management XML-Eingaben aus externen oder nicht vertrauenswürdigen Quellen verarbeitet und Custom Rules, Custom Search Attributes oder eingehende cXML-Nachrichten verwendet werden. Lokale Dateien können offengelegt und Ressourcen erschöpft werden. Die Vertraulichkeit ist stark und die Verfügbarkeit gering betroffen, die Integrität bleibt unbeeinträchtigt.
SAP deaktiviert mit der neuen iFlow-Paketversion die Auflösung externer Entitäten. Aktualisieren Sie Cloud Integration - Trading Partner Management V2 mindestens auf 2.10.0 oder B2B Integration Factory - Cloud Integration - Trading Partner Management mindestens auf 1.11.0. Stellen Sie anschließend alle iFlow-Schritte erneut bereit. Szenarien, die bewusst XML External Entities oder DTD-Funktionen verwenden, können nach dem Upgrade beeinträchtigt sein. Laut SAP gibt es keinen Workaround.
Mehr dazu finden Sie unter dem Hinweis: 3792978
Hoch: Unsichere Deserialisierung in SAP NetWeaver Business Client
Produkt: SAP NetWeaver Business Client, Versionen – BC-WD-CLT-BUS 8.00, 8.10
SAP NetWeaver Business Client validiert bestimmte lokal gespeicherte Daten beim Programmstart nicht ausreichend. Ein Angreifer mit geringen lokalen Berechtigungen kann diese Daten durch präparierte Inhalte ersetzen. Die Schwachstelle wurde mit einem CVSS Score von 7,8 (hoch) bewertet.
Beim nächsten Start verarbeitet die Anwendung die manipulierten Daten. Dadurch kann beliebiger Code im Kontext des angemeldeten Benutzers ausgeführt werden. Vertraulichkeit, Integrität und Verfügbarkeit können stark beeinträchtigt werden. Voraussetzung ist die Manipulation der Benutzerdaten auf dem Windows-Client.
Die Korrektur sorgt für eine sichere Serialisierung der Daten auf dem Client. Implementieren Sie die angegebenen Support Packages und Patches. Laut SAP steht kein Workaround zur Verfügung.
Mehr dazu finden Sie unter dem Hinweis: 3784138
Hoch: Speicherbeschädigung in SAP NetWeaver Application Server for ABAP und ABAP Platform
Produkt: SAP NetWeaver Application Server for ABAP and ABAP Platform, Versionen – KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, 8.04, KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.18, 9.19, 9.20
Ein nicht authentifizierter Angreifer kann ein präpariertes Paket senden und dadurch unter engen zeitlichen Bedingungen eine zuvor gepufferte Benutzeranfrage erneut verarbeiten lassen. Dies kann zur Übernahme der Sitzung eines anderen Benutzers führen. Die Schwachstelle wurde mit einem CVSS Score von 7,7 (hoch) bewertet.
Ein Angriff erfordert, dass die Anfrage des Angreifers zeitlich mit einer legitimen gepufferten Anfrage zusammenfällt. Ursache ist eine fehlende Längenprüfung komprimierter Daten in einer internen Protokollkomponente. Vertraulichkeit und Integrität können stark, die Verfügbarkeit gering beeinträchtigt werden.
Die Korrektur verbessert die Verarbeitung komprimierter Benutzerdaten. Installieren Sie den im Hinweis aufgeführten Kernel-Patch oder einen nachfolgenden Patch-Level. Laut SAP ist kein Workaround verfügbar.
Mehr dazu finden Sie unter dem Hinweis: 3757002
Hoch: HTTP Request Smuggling in SAP Commerce Cloud Search And Navigation
Produkt: SAP Commerce Cloud (Search And Navigation), Versionen – COM_CLOUD 2211, 2211-JDK21
Eine anfällige Jetty-Komponente kann eine CR-LF-Sequenz innerhalb einer HTTP/1.1-Chunk-Erweiterung falsch interpretieren. Ein nicht authentifizierter Angreifer kann dadurch eine zusätzliche HTTP-Anfrage an den Backend-Server schmuggeln. Die Schwachstelle wurde mit einem CVSS Score von 7,4 (hoch) bewertet.
Der Angriff setzt eine vorgeschaltete Komponente wie Reverse Proxy oder Load Balancer voraus, die Chunked-Anfragen an Jetty weiterleitet und deren Grenzen anders interpretiert. Der Angreifer benötigt Netzwerkzugriff auf den Frontend-Proxy von Search and Navigation. Vertraulichkeit und Integrität können stark beeinträchtigt werden, die Verfügbarkeit nicht.
SAP behebt die Schwachstelle mit einer nicht anfälligen Jetty-Version in SAP Commerce Cloud Patch Release 2211-jdk21.18. Bauen Sie die aktualisierte Commerce-Version nach der Installation neu und stellen Sie sie erneut bereit. Sorgen Sie als temporäre Maßnahme dafür, dass Solr nicht öffentlich erreichbar ist. Konfigurieren Sie den vorgeschalteten Proxy so, dass er HTTP/1.1-Chunk-Erweiterungen ablehnt oder entfernt.
Mehr dazu finden Sie unter dem Hinweis: 3791068
Mittel: Offenlegung von Informationen in SAP Web Dispatcher, Internet Communication Manager und SAP Content Server
Produkt: SAP Web Dispatcher, Internet Communication Manager and SAP Content Server, Versionen – KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, WEBDISP 7.22_EXT, 7.53, 7.54, 7.77, 7.93, 9.16, CONTSERV 7.53, 7.54, KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.19, 9.20
Ein authentifizierter Angreifer mit geringen Berechtigungen kann über administrative Funktionen oder Schnittstellen vertrauliche Informationen zum Systemzustand abrufen. Die Schwachstelle wurde mit einem CVSS Score von 6,5 (mittel) bewertet. Die Vertraulichkeit ist stark betroffen, Integrität und Verfügbarkeit bleiben unbeeinträchtigt.
Die Versionen 7.22, 7.53 und 7.54 sind in Standardkonfiguration betroffen. Bei den KERNEL-Versionen 7.77, 7.93 und 9.16 besteht die Schwachstelle nur, wenn das Instanz- oder Standardprofil einen Parameter icm/HTTP/admin_<x> mit ALLOWPUB=TRUE enthält. Der Internet Communication Manager ist sowohl in SAP NetWeaver Application Server ABAP als auch in Application Server Java betroffen. Der in SAP HANA Extended Application Services enthaltene SAP Web Dispatcher ist nicht betroffen. Die Korrektur entfernt sensible Daten aus der Ausgabe und wird über die angegebenen Kernel-, Web-Dispatcher- beziehungsweise Content-Server-Patches bereitgestellt.
Als Workaround deaktivieren Sie den öffentlichen Teil der Administratoroberfläche und entfernen ALLOWPUB=TRUE aus allen Parametern icm/HTTP/admin_<x>. Bei Version 7.22, 7.53 oder 7.54 setzen Sie zusätzlich in allen Instanz- und Standardprofilen ALLOWPUB=FALSE für sämtliche Parameter icm/HTTP/admin_<x>. Falls icm/HTTP/admin_0 dort nicht explizit gesetzt ist, setzen Sie: icm/HTTP/admin_0 = PREFIX=/sap/admin,DOCROOT=$(DIR_DATA)$(DIR_SEP)icmandir/admin,AUTHFILE=$(icm/authfile),ALLOWPUB=FALSE. Starten Sie anschließend den SAP Web Dispatcher oder den Application Server neu. Beim SAP Content Server erfolgt die Aktualisierung durch den manuellen Austausch der ausführbaren Dateien; ein automatisiertes Updateverfahren und ein Workaround stehen dafür laut SAP nicht zur Verfügung.
Mehr dazu finden Sie unter dem Hinweis: 3750721
Mittel: SQL Injection in SAP S/4HANA Intercompany Matching and Reconciliation
Produkt: SAP S/4HANA (Intercompany Matching and Reconciliation), Versionen – SAPSCORE 136, S4CORE 104, 105, 106, 107, 108, 109
Ein authentifizierter Benutzer mit geringen Berechtigungen kann einen betroffenen Parameter nutzen, um präparierte Eingaben an Funktionen von Intercompany Matching and Reconciliation zu übermitteln. Die Schwachstelle wurde mit einem CVSS Score von 6,5 (mittel) bewertet.
Weil die Matching Engine diese Eingaben nicht ausreichend bereinigte, konnte die Datenbank die eingeschleuste Nutzlast verarbeiten. Dadurch können sensible Informationen offengelegt werden. Die Vertraulichkeit ist stark betroffen, Integrität und Verfügbarkeit bleiben unbeeinträchtigt.
Der Patch sperrt unzulässige Schlüsselwörter in der Filtereingabe. Implementieren Sie die angegebenen Korrekturanweisungen oder Support Packages. Als temporären Workaround beschränken Sie den Zugriff von Fachanwendern auf die Transaktionen ICARM und ICADR und planen Matching-Läufe stattdessen über die von SAP genannten Jobvorlagen.
Mehr dazu finden Sie unter dem Hinweis: 3756450
Mittel: Server-Side Request Forgery in SAP Manufacturing Integration and Intelligence
Produkt: SAP Manufacturing Integration and Intelligence, Versionen – XMII 15.4, 15.5
Ein Angreifer kann den Server dazu bringen, beliebige ausgehende Anfragen zu initiieren. In Verbindung mit XML- oder XSL-Verarbeitung können darüber Skripte ausgeführt werden. Die Schwachstelle wurde mit einem CVSS Score von 6,5 (mittel) bewertet.
Ein erfolgreicher Angriff erfordert geringe Berechtigungen und eine Benutzerinteraktion. Ursache ist eine inkonsistente Eingabeprüfung am XMLProxy-Endpunkt, über den vom Angreifer bestimmte Dateien, WSDL- oder XML-Ressourcen per HTTP(S) abgerufen werden können. Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils gering betroffen.
Vergeben Sie SAP_XMII_Super_Administrator, SAP_XMII_Administrator, SAP_XMII_Developer und SAP_XMII_ProjectManagement ausschließlich an technische Benutzer, die MII konfigurieren müssen. SAP_XMII_Administrator und SAP_XMII_Super_Administrator dürfen nur hochprivilegierten technischen Benutzern zugewiesen werden. Weisen Sie XMII_Workbench_all und XMII_Workbench_Transaction_Editor keinen anderen als den standardmäßig ausgelieferten Rollen zu. Blockieren Sie externe URLs auf Netzwerkebene und prüfen Sie SourceURL-Werte vor dem Produktivtransport. Befüllen Sie SourceURL in Transaktionen über Transaction Variables und prüfen Sie Implementierungen von XML Loader und HTML Loader in Entwicklungs- oder Qualitätssystemen vor dem Produktivtransport. Importieren Sie WSDL-, HTML- und XML-Dateien nach Möglichkeit lokal; andernfalls dürfen HTML- und XML-Dateien nur auf Intranet-Servern liegen.
Mehr dazu finden Sie unter dem Hinweis: 3786489
Mittel: Sicherheitsfehlkonfiguration in SAP Commerce Cloud Search and Navigation
Produkt: SAP Commerce Cloud (Search and Navigation), Versionen – COM_CLOUD 2211, 2211-JDK21
SAP Commerce Cloud verwendet eine Apache-Log4j-Version, die bei TLS-Verbindungen den Hostnamen nicht ordnungsgemäß prüft. Ein Angriff ist möglich, wenn ein SMTP-, Socket- oder Syslog-Appender TLS über ein verschachteltes <Ssl>-Element nutzt und ein Zertifikat einer im Appender-Truststore oder Java-Standard-Truststore vertrauten Zertifizierungsstelle verwendet werden kann. Der HTTP Appender ist laut CVE-Datensatz nicht betroffen. Die Schwachstelle wurde mit einem CVSS Score von 5,9 (mittel) bewertet.
Ein netzwerkbasierter Angreifer kann die fehlerhafte Hostnamenprüfung für einen Man-in-the-Middle-Angriff nutzen und übertragene Daten manipulieren. Der SAP-LongText spricht von einem authentifizierten Benutzer, während SAPs strukturierter CVSS-Vektor und der CVE-Datensatz keine erforderlichen Anmeldeprivilegien ausweisen. Die Integrität ist nach SAP stark betroffen, während Vertraulichkeit und Verfügbarkeit unbeeinträchtigt bleiben.
SAP aktualisiert Log4j auf eine nicht anfällige Version. Installieren Sie SAP Commerce Cloud Patch Release 2211-jdk21.13 beziehungsweise 2211.53, bauen Sie die Commerce-Version anschließend neu und stellen Sie sie erneut bereit.
Mehr dazu finden Sie unter dem Hinweis: 3787345
Mittel: Clickjacking in SAPUI5 Frame Options Allowlist
Produkt: SAPUI5(Frame Options Allowlist), Versionen – SAP_UI 750, 754, 755, 756, 757, 758, 816, UI_700 200
SAPUI5 gleicht den Ursprung eines übergeordneten Frames nicht streng genug mit der konfigurierten Allowlist ab. Ein nicht authentifizierter Angreifer kann eine präparierte Seite bereitstellen und damit die Framing-Beschränkung umgehen. Die Schwachstelle wurde mit einem CVSS Score von 4,3 (mittel) bewertet.
Betroffen sind Anwendungen mit einer anfälligen SAPUI5-Version, dem Frame-Options-Modus trusted und einer hostbasierten Allowlist. Besucht ein authentifiziertes Opfer die präparierte Seite und interagiert mit deren Inhalten, kann der Angreifer unbeabsichtigte Aktionen auslösen. Die Integrität ist gering betroffen, Vertraulichkeit und Verfügbarkeit nicht.
Die Korrektur führt einen strengeren Hostnamenabgleich für die FrameOptions-Allowlist ein. Aktualisieren Sie SAPUI5 auf einen der im Hinweis genannten Mindest-Patch-Level oder höher.
Mehr dazu finden Sie unter dem Hinweis: 3783189
Mittel: Cross-Site Request Forgery in SAP S/4HANA Finance for Advanced Payment Management
Produkt: SAP S/4HANA (Finance for Advanced Payment Management), Versionen – S4CORE 105, 106, 107
Bestimmte Anfragen in SAP S/4HANA Finance for Advanced Payment Management sind nicht ausreichend gegen Cross-Site Request Forgery geschützt. Ein Angreifer mit geringen Berechtigungen kann einen schädlichen Link oder eine Seite erstellen. SAP zeigt für die Schwachstelle einen CVSS Score von 4,3 (mittel) an. Der zugleich veröffentlichte Vektor CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N und der CVE-Datensatz weisen dagegen 3,5 (niedrig) aus.
Interagiert ein authentifiziertes Opfer mit dem Inhalt, können in seinem Namen unbeabsichtigte Aktionen auf dem Webserver ausgelöst werden. Ursache ist, dass zustandsändernde Function Imports per HTTP GET aufgerufen wurden. Der SAP-LongText nennt geringe Auswirkungen auf Vertraulichkeit und Integrität; der strukturierte SAP-CVSS-Vektor und der CVE-Datensatz weisen nur eine geringe Integritätsauswirkung sowie keine Auswirkung auf Vertraulichkeit und Verfügbarkeit aus.
Die Korrektur stellt die betroffenen Aufrufe auf HTTP POST um. Nur Kunden von S/4HANA Finance for Advanced Payment Management müssen den Hinweis anwenden. Implementieren Sie die angegebenen Korrekturanweisungen oder Support Packages gemeinsam mit SAP Note 3365311 für die Fiori-Änderungen.
Mehr dazu finden Sie unter dem Hinweis: 3365276
Mittel: Cross-Site Request Forgery in SAP S/4HANA Finance for Advanced Payment Management
Produkt: SAP S/4HANA (Finance for Advanced Payment Management), Versionen – S4CORE 108
In S4CORE 108 fehlt bei bestimmten Anfragen von SAP S/4HANA Finance for Advanced Payment Management ein ausreichender Schutz vor Cross-Site Request Forgery. Ein Angreifer mit geringen Berechtigungen kann einen schädlichen Link oder eine präparierte Seite bereitstellen. Der SAP-Hinweis und die SAP-Übersicht nennen einen CVSS Score von 4,3 (mittel); der CVE-Datensatz weist 3,5 (niedrig) aus.
Wenn ein authentifiziertes Opfer mit diesem Inhalt interagiert, kann der Angreifer in dessen Namen unbeabsichtigte Aktionen auf dem Webserver auslösen. Möglich ist dies, weil zustandsändernde Function Imports per HTTP GET aufgerufen wurden. Nach SAP-LongText und CVE-Beschreibung sind Vertraulichkeit und Integrität gering betroffen; die strukturierten CVSS-Vektoren bewerten nur die Integrität als gering und die Vertraulichkeit als unbeeinträchtigt. Die Verfügbarkeit ist in beiden Bewertungen nicht betroffen.
Die Korrektur stellt die betroffenen Aufrufe auf HTTP POST um. Nur Kunden von S/4HANA Finance for Advanced Payment Management müssen den Hinweis anwenden. Implementieren Sie die angegebenen Korrekturanweisungen oder Support Packages gemeinsam mit SAP Note 3365311 für die Fiori-Änderungen.
Mehr dazu finden Sie unter dem Hinweis: 3371336
Mittel: Cross-Site Request Forgery in SAP S/4HANA Finance for Advanced Payment Management
Produkt: SAP S/4HANA (Finance for Advanced Payment Management), Versionen – UIAPFI70 800, 900, 901, 902
Die Fiori-Komponente von SAP S/4HANA Finance for Advanced Payment Management sichert bestimmte Anfragen nicht ausreichend gegen Cross-Site Request Forgery ab. Ein Angreifer mit geringen Berechtigungen kann einen schädlichen Link oder eine präparierte Seite erstellen. Der SAP-Hinweis und die SAP-Übersicht nennen einen CVSS Score von 4,3 (mittel); der CVE-Datensatz weist für denselben Vektor 4,6 (mittel) aus.
Interagiert ein authentifiziertes Opfer mit dem präparierten Inhalt, kann der Angreifer unbeabsichtigte Aktionen in dessen Namen auslösen. Grund dafür ist der Aufruf zustandsändernder Function Imports per HTTP GET. Vertraulichkeit und Integrität sind gering betroffen, die Verfügbarkeit nicht.
Die Fiori-Korrektur stellt diese Aufrufe auf HTTP POST um. Nur Kunden von S/4HANA Finance for Advanced Payment Management müssen den Hinweis anwenden. Implementieren Sie die angegebenen Korrekturanweisungen oder Support Packages gemeinsam mit SAP Note 3365276 oder 3371336, abhängig vom eingesetzten Release und Support Package.
Mehr dazu finden Sie unter dem Hinweis: 3365311
Mittel: Fehlende Berechtigungsprüfung in SAP S/4HANA Manage Bank Chains App
Produkt: SAP S/4HANA (Manage Bank Chains app), Versionen – S4CORE 107, 108, 109
In bestimmten Funktionen der Manage Bank Chains App fehlen ausreichende Berechtigungsprüfungen. Ein Angreifer mit geringen Berechtigungen kann präparierte Anfragen senden und bestimmte Einträge löschen, auf die er keinen Zugriff haben sollte. Die Schwachstelle wurde mit einem CVSS Score von 4,3 (mittel) bewertet.
Die Verfügbarkeit kann dadurch gering beeinträchtigt werden. Auswirkungen auf Vertraulichkeit oder Integrität weist SAP nicht aus.
Die korrigierten Funktionen erzwingen die vorgesehenen Zugriffsbeschränkungen. Implementieren Sie die im Hinweis genannten Korrekturanweisungen oder Support Packages.
Mehr dazu finden Sie unter dem Hinweis: 3657599
Mittel: Fehlende Berechtigungsprüfung im Application Server ABAP von SAP NetWeaver und ABAP Platform
Produkt: SAP NetWeaver and ABAP Platform, Versionen – SAP_BASIS 700, SAP_BASIS 701, SAP_BASIS 702, SAP_BASIS 731, SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758
Aufgrund einer fehlenden Berechtigungsprüfung kann ein authentifizierter Angreifer mit geringen Berechtigungen auf sensible Systemkonfigurationsinformationen zugreifen. Die Schwachstelle wurde mit einem CVSS Score von 4,3 (mittel) bewertet.
Bei bestimmten authentifizierten Abläufen der Internationalisierungsfunktion wurden die erforderlichen Berechtigungsprüfungen nicht konsistent ausgeführt. Dadurch können sicherheitsrelevante Einstellungen und interne Systemdetails offengelegt werden. Die Vertraulichkeit ist gering betroffen, Integrität und Verfügbarkeit nicht.
Die Korrektur ergänzt Berechtigungsprüfungen für das betroffene Berechtigungsobjekt. Implementieren Sie das angegebene Support Package oder die Korrekturanweisungen.
Mehr dazu finden Sie unter dem Hinweis: 3772838
Niedrig: Denial of Service in SAP Process Integration SOAP Adapter
Produkt: SAP Process Integration (SOAP Adapter), Versionen – MESSAGING 7.50, SAP_XIAF 7.50
Ein privilegierter Benutzer kann präparierte Anfragen mit tief verschachtelten Entitätsdefinitionen an den SOAP Adapter senden. Unter bestimmten Bedingungen steigt dadurch die Prozessorauslastung vorübergehend und die Reaktionsfähigkeit des Systems sinkt. Die Schwachstelle wurde mit einem CVSS Score von 2,2 (niedrig) bewertet.
Ursache ist eine unzureichende Prüfung von XML-Eingaben in bestimmten Funktionen. Die Verfügbarkeit kann gering beeinträchtigt werden, Vertraulichkeit und Integrität bleiben unbeeinträchtigt.
Die Korrektur deaktiviert die Verarbeitung von DOCTYPE-Deklarationen und verhindert damit die gemeldete XML Entity Expansion. Implementieren Sie die angegebenen Support Packages und Patches.
Mehr dazu finden Sie unter dem Hinweis: 3736494
Nähere Informationen zu allen veröffentlichten Sicherheitslücken des SAP Patch Day September finden Sie hier.
Wenn Sie Unterstützung bei der Bewertung der Sicherheitslücken in Bezug auf Ihre Systeme benötigen, wenden Sie sich gern direkt an René Studtmann.
