Analyse der SAP-Sicherheitshinweise vom Februar 2016

SAP ist ein komplexes und sich ständig wandelndes System, sei es aufgrund von Anpassungen an Ihrer SAP-Implementierung, um diese besser an Ihre geschäftlichen Anforderungen anzupassen, oder durch die Installation von Sicherheitshinweisen (Patches), um neu bekannt gewordene Sicherheitslücken zu schließen.

Um einen planbaren und regelmäßigen Fluss an Informationen zur Behebung von Sicherheitslücken sowie an Sicherheitspatches zu gewährleisten, veröffentlicht SAP den Großteil seiner aktuellen Sicherheitshinweise am zweiten Dienstag jedes Monats. Angesichts dieser regelmäßigen Bekanntgabe neuer Sicherheitsprobleme, die die Sicherheit von SAP-Systemen innerhalb eines Unternehmens potenziell beeinträchtigen könnten, wird dringend empfohlen, mindestens einmal monatlich regelmäßige Überprüfungen durchzuführen.

Bei Onapsis liegt uns die Sicherheit der SAP-Systeme unserer Kunden sowie die allgemeine SAP-Sicherheit sehr am Herzen. Um unsere Kunden zu unterstützen, führen wir daher eine detaillierte Analyse der monatlichen SAP-Sicherheitshinweise durch, sobald diese veröffentlicht werden. Ziel ist es, SAP-Kunden detaillierte Informationen zu den neu veröffentlichten Hinweisen und Schwachstellen zu liefern, die ihre SAP-Systeme betreffen, und sie bei der Durchführung von Tests dieser Systeme in ihrem Unternehmen zu unterstützen.

Zwischen dem letzten veröffentlichten SAP Security Tuesday und heute hat die SAP AG 23 SAP-Sicherheitshinweise veröffentlicht (unter Berücksichtigung von 7 Support-Paketen und 16 Patch-Day-Hinweisen). Die Onapsis Research Labs hatten wie fast jeden Monat dazu beigetragen, in der SAP-Software gefundene Schwachstellen zu melden (Danksagung an die Sicherheitsforscher).
Die in diesem Monat veröffentlichten SAP-Sicherheitshinweise, die sich auf von den Onapsis Research Labs gemeldete Sicherheitshinweise bezogen, Onapsis Research Labs :

• 2252312; 1.7 (AV:L/AC:L/Au:S/C:N/I:P/A:N). Unzureichende Protokollierung von RFC in SAL

Das Boxplot-Diagramm veranschaulicht die Verteilung der CVSS-v2-Werte in den veröffentlichten Sicherheitshinweisen. Für die Erstellung des Diagramms wurden nur diejenigen Sicherheitshinweise berücksichtigt, für die SAP einen CVSS-v2-Wert festgelegt hat (16 der 23 SAP-Sicherheitshinweise). Wie aus dem Diagramm hervorgeht, reichen die Werte der SAP-Sicherheitshinweise von 1,7 bis 7,5, wobei der Median bei 4,6 liegt.

Von SAP bereitgestellte SAP-Sicherheitshinweise mit höherer CVSS-Bewertung

• 2234226 – 7.5 (AV:N/AC:L/Au:N/C:P/I:P/A:P). TREX / BWA: Mögliche Offenlegung technischer Informationen / Kompromittierung des Host-Betriebssystems. Dieser SAP-Sicherheitshinweis wurde in Hinweis 2273881 aktualisiert. In TREX / BWA gibt es eine Schnittstelle, die es einem nicht authentifizierten Benutzer ermöglicht, Betriebssystembefehle unter Verwendung von SIDadm-Berechtigungen auf dem Rechner auszuführen, auf dem die TREX / BWA-Anwendung läuft.
• 2101079 – 6.8 (AV:N/AC:M/Au:N/C:P/I:P/A:P). Mögliche Änderung/Offenlegung von gespeicherten Daten in BC-ESI-UDDI. In der Komponente „UDDI Server“ lag ein Sicherheitsproblem vor, das es einem böswilligen Benutzer ermöglichen würde, maßgeschneiderte Eingaben an ein SAP-System zu senden und darin gespeicherte Daten abzurufen, zu ändern oder zu löschen.
• 2256846 – 5.0 (AV:N/AC:L/Au:N/C:P/I:N/A:N). Mögliche Offenlegung von Informationen zu Benutzernamen. Die Universal Worklist (UWL) bietet Benutzern die „People Picker “-Funktion. Diese Funktion wies eine Sicherheitslücke auf, die es einem Angreifer ermöglichen könnte, Informationen über Benutzernamen abzurufen, die über die entsprechenden Berechtigungen verfügen.

Weitere Korrekturen mit hoher Priorität (kein CVSS-Wert von SAP angegeben)

• 2262104. In der in CA Introscope verwendeten Apache Commons Collections-Bibliothek wurden Sicherheitslücken entdeckt.
• 2273881. Update 1 zur Sicherheitsmitteilung 2234226.
• 2268810. Sicherheitslücke in der Apache Commons Collections-Bibliothek, die von mehreren SAP-Lumira-Produkten verwendet wird.
• 2246851. PI SEC: Sicherheitslücken in der Apache Commons Collections-Bibliothek, die im Enterprise Services Repository verwendet wird.
• Diese vier SAP-Sicherheitshinweise beziehen sich auf die in der Apache Commons Collections-Bibliothek.
• 2245130. Mögliche Umgehung der Laufzeitprüfungen für Unified Connectivity in BC-MID-RFC. Falls die erste Benutzeranmeldung fehlschlug, war es möglich, die Unified-Connectivity-Prüfung zu umgehen.
• 2177403. Fehlende Berechtigungsprüfung in IS-A-VMS. Die Komponente „Fahrzeugmanagementsystem“ wies eine Sicherheitslücke auf, die es einem authentifizierten Benutzer ermöglichte, eine bestimmte Funktion auszuführen, auf die der Zugriff eigentlich beschränkt sein sollte.
• 2180125. Fehlende Berechtigungsprüfung in LE-TRM. Die Komponente „Task & Resource Management“ hat den Zugriff auf einige ihrer Funktionen nicht ordnungsgemäß überprüft, sodass ein authentifizierter Benutzer bestimmte Funktionen nutzen konnte, auf die der Zugriff eigentlich beschränkt sein sollte.

Weitere Angriffsvektoren

• Reflected Cross-Site Scripting (XSS): Hinweise 2249364, 2272211, 2220571, 1865646
• Stored Cross-Site Scripting (XSS): Hinweis 2228405
• Fehlende Berechtigungsprüfung: Hinweise 2236289, 2214442, 2258608
• Unzureichende Protokollierung: Hinweis 2252312
• Denial-of-Service: Hinweis 2266565
• Verzeichnisdurchlauf: Hinweise 2235088, 2230978
• XML External Entity (XXE): Hinweis 2244346

Onapsis aktualisiert sein Flaggschiffprodukt, die Onapsis Security Platform OSP), jeden Monat, damit Sie überprüfen können, ob Ihre Systeme auf dem neuesten Stand der SAP-Sicherheitshinweise sind, und um sicherzustellen, dass diese Systeme mit dem erforderlichen Sicherheitsniveau konfiguriert sind, um Ihre Audit- und Compliance-Anforderungen zu erfüllen.

Seien Sie gespannt auf die Analyse der „Security Notes“ im nächsten Monat von den Onapsis Research Labs.

HINWEIS:

SAP hat seinen monatlichen Beitrag im SCN-Bereich „The Official SAP Product Security Response Space“ veröffentlicht, in dem Informationen zu den SAP-Sicherheitshinweisen bereitgestellt werden.

Hier ist der Link zum SAP-Blogbeitrag: „SAP Security Patch Day – Februar 2016“