SAP Security Patch Day Juni 2023

Cross-Site Scripting wird nie alt

Zu den Highlights der Analyse der SAP-Sicherheitshinweise im Juni gehören dreizehn neue und aktualisierte SAP-Sicherheitspatches, darunter vier Hinweise mit hoher Priorität. Cross-Site Scripting (XSS) war die beliebteste Schwachstelle. Es wurden acht Hinweise veröffentlicht, die diese Schwachstelle in verschiedenen Komponenten beheben. Darunter sind zwei von vier Hinweisen mit hoher Priorität und diesmal keine Hot News. Diesen Monat haben die Onapsis Research Labs dazu beigetragen, eine Schwachstelle zu beheben, die das Transport Management System betrifft und zu einem Denial of Service führen kann.

Zwei der High Priority Notes, #3326210 und #3324285, betreffen die SAPUI5 Komponente. Der erste Hinweis wurde am Patch Day im Mai veröffentlicht und wird nun mit einer aktualisierten Lösung und einem Workaround erneut veröffentlicht. Der zweite Hinweis ist einer der acht XSS-Sicherheitshinweise und betrifft das UI5-Management.

Hochwichtige SAP-Sicherheitshinweise im Detail

Neue SAP-Sicherheitshinweise mit hoher Priorität

SAP Security Note #3324285, mit einem CVSS Score von 8.2, behebt ein Problem in UI5 Varian Management, das zu einer Stored Cross-Site Scripting (Stored XSS) Schwachstelle führen kann. Diese Schwachstelle ermöglicht es einem Angreifer, Zugriff auf Benutzerebene zu erlangen und die Vertraulichkeit, Integrität und Verfügbarkeit der UI5-Variantenmanagement-Anwendung zu gefährden.

Der zweite neue SAP-Sicherheitshinweis mit hoher Priorität ist #3301942. Dieser Hinweis ist mit einem CVSS-Score von 7.9 gekennzeichnet. Diese Schwachstelle ermöglicht es einem Angreifer, eine Verbindung zu SAP Plant Connectivity und Production Connector for SAP Digital Manufacturing ohne gültiges JSON Web Token (JWT) herzustellen und so deren Integrität und Integration mit SAP Digital Manufacturing zu gefährden. Um diese Schwachstelle vollständig zu beheben, müssen beide Komponenten gepatcht und die JWT-Signaturvalidierung in den Cloud Connector-Einstellungen konfiguriert werden.

Updates in zuvor veröffentlichten SAP-Sicherheitshinweisen mit hoher Priorität

Der SAP-Sicherheitshinweis #3326210, der mit einem CVSS-Score von 7.1 gekennzeichnet ist, wurde erstmals am Patch Day im Mai veröffentlicht und wird an diesem Patch Day aktualisiert. Der Hinweis behebt eine Schwachstelle in der sap.m.FormattedText SAPUI5-Steuerung, die es einem Angreifer ermöglicht, die Daten eines Benutzers durch einen Phishing-Angriff zu lesen oder zu verändern. Das Update enthält nur geringfügige textliche oder strukturelle Änderungen und fügt Unterstützung für SAP NetWeaver 7.58 hinzu.

Die übrigen aktualisierten Hinweise mit hoher Priorität enthalten ebenfalls kleinere textliche oder strukturelle Aktualisierungen. SAP Security Note #3102769, mit einem CVSS-Score von 8.8, enthält einen Patch für eine kritische Cross-Site-Scripting-Schwachstelle in SAP Knowledge Warehouse. Er enthält auch einen Workaround, der die Deaktivierung der anfälligen Anzeigekomponente beschreibt. Neue Patch-Level-Patches werden für SAP NetWeaver 7.31 und 7.40 veröffentlicht.

Cross-Site Scripting SAP Sicherheitshinweise

Trotz der Tatsache, dass es nur zwei SAP-Sicherheitshinweise mit hoher Priorität gibt, die eine Cross-Site-Scripting-Schwachstelle beheben, ist es erwähnenswert, dass sechs SAP-Sicherheitshinweise mit mittlerer Priorität an diesem Juni-Patch-Day veröffentlicht werden.

Die SAP-Sicherheitshinweise #3319400 und #3315971 wurden erstmals am Patch Day im Mai veröffentlicht und sind nun aktualisiert worden. Der erste Hinweis besagt, dass SAP Business Object 4.2 nicht von der Sicherheitslücke betroffen ist und entfernt diese Version von der Liste der betroffenen Versionen. Anders verhält es sich mit dem Hinweis #3315971 und dem Problem in SAP CRM. In diesem Fall warnt SAP die Anwender vor der Vollständigkeit des Fixes und empfiehlt die Implementierung des SAP Sicherheitshinweises #3322800, der ebenfalls an diesem Patch Day veröffentlicht wurde.

Die SAP Sicherheitshinweise #2826092, #3331627 und #3318657 beheben jeweils eine Cross-Site Scripting Schwachstelle in SAP CRM Grantor Management, SAP Enterprise Portal und Design Time Repository. SAP-Hinweis #3318657 ist mit einem CVSS-Score von 6.4 gekennzeichnet, die beiden anderen mit einem Score von 6.1. Der Patch für alle drei erfordert lediglich eine Aktualisierung der betroffenen Komponente.

Weiterer Beitrag der Onapsis Research Labs

Die Onapsis Research Labs haben bis einschließlich Juni nun Forschungsbeiträge für SAP für siebenunddreißig Patches im Jahr 2023 geliefert. Der Beitrag in diesem Monat bezieht sich auf ein Problem im Transport Management System.

Ein Standardreport kann dazu verwendet werden, eine beliebige Anzahl von Transportaufträgen zu generieren und zu exportieren, wobei jeder dieser Aufträge mehrere Objekte enthält und jedes Objekt mehrere Schlüssel hat. Jeder Schlüssel erzeugt mehrere Zeilen in der entsprechenden Protokolldatei des Transportexports.

Wenn er missbraucht wird, kann ein Angreifer

• den Nummernkreis für Transportaufträge überschwemmen, bis er voll ist und somit überhaupt keine Transporte mehr erstellt werden können
• die Festplatte, auf der sich das Transportverzeichnis befindet, volllaufen lassen. Wird ein zentrales Transportverzeichnis für mehrere Systemlandschaften verwendet, oder ist die Platte Teil eines zentralen Dateiservers und wird für andere Anwendungen genutzt, so werden auch diese nicht mehr verfügbar sein.

Dieses Problem wird im SAP-Sicherheitshinweis #3325642 behoben und besteht darin, diesen Standardbericht zu entfernen.

Zusammenfassung und Fazit

Mit dreizehn neuen und aktualisierten SAP-Sicherheitshinweisen, darunter vier High Priority-Hinweise und keine HotNews-Hinweise, ist der Juni-Patch-Day von SAP nicht so arbeitsreich wie andere. Besondere Aufmerksamkeit sollte dem neu veröffentlichten Hinweis #3315971 und dem dazugehörigen Update #3322800 geschenkt werden, um die XSS-Schwachstelle in SAP CRM vollständig zu beheben.

 

Onapsis Research Labs aktualisiert die Onapsis-Plattform automatisch mit den neuesten Bedrohungsdaten und Sicherheitsrichtlinien, damit unsere Kunden den sich ständig weiterentwickelnden Bedrohungen einen Schritt voraus sind und ihr Unternehmen schützen können.

Source: Onapsis-Blog

---

Sie haben Fragen? Ihr Ansprechpartner für D/A/CH

Do you have any questions? Your contact person for D/A/CH

Thomas Fritsch, Onapsis