SAP-Patch-Tag: März 2023

Kritische Sicherheitslücken in SAP NetWeaver AS ABAP / Java und in SAP BusinessObjects behoben

Zu den wichtigsten Ergebnissen der Analyse der SAP-Sicherheitshinweise vom März gehören:

• Zusammenfassung für März– 21 neue und aktualisierte SAP-Sicherheitspatches veröffentlicht, darunter sechs HotNews-Hinweise und vier Hinweise mit hoher Priorität
• Kritische Patches betreffen alle SAP-Kunden– Drei neue HotNews-Meldungen für SAP NetWeaver AS ABAP und JAVA 
• Onapsis Research Labs – Unser Team hat SAP dabei unterstützt, fünfzehn Sicherheitslücken zu beheben, die in zwölf SAP-Sicherheitshinweisen behandelt wurden

SAP hat an seinem Patch Day im März einundzwanzig SAP-Sicherheitshinweise veröffentlicht, darunter sechs „HotNews“-Hinweise und vier Hinweise mit hoher Priorität. 

Die Onapsis Research Labs zur Behebung von fünfzehn Sicherheitslücken Onapsis Research Labs , die in zwölf der neunzehn neuen SAP-Sicherheitshinweise behandelt werden. 

Zwei SAP-Sicherheitshinweise enthalten geringfügige Aktualisierungen von Hinweisen, die ursprünglich im Dezember 2022 und im Februar 2023 veröffentlicht wurden.

Der SAP-Sicherheitshinweis Nr. 3273480, der mit einem CVSS-Wert von 9,9 versehen ist, war der erste Patch zur Behebung einer Reihe von Control unzureichender Control in SAP NetWeaver AS Java, die von den Onapsis Research Labs entdeckt worden waren. Die Lösung wurde ursprünglich am SAP-Patch-Day im Dezember veröffentlicht und führte zu einigen Nebenwirkungen bei den Alarmierungs- und Überwachungsfunktionen von SAP NW AS Java. Das neueste Update des Hinweises verweist auf zwei weitere Hinweise, die diese Nebenwirkungen beheben.

Der SAP-Sicherheitshinweis Nr. 3273480, der mit einem CVSS-Wert von 6,1 versehen ist, wurde ursprünglich im Februar veröffentlicht und behebt eine Cross-Site-Scripting-Sicherheitslücke im BSP-Framework von SAP NW AS ABAP. Das Update enthält lediglich geringfügige Textänderungen, und Kunden müssen keine weiteren Maßnahmen ergreifen, sofern der Sicherheitshinweis bereits auf den betroffenen Systemen angewendet wurde. 

Die HotNews-Notizen im Detail

Zwei der fünf neuen HotNews-Hinweise betreffen Platform SAP Business Objects (SAP BO) Intelligence Platform. Der SAP-Sicherheitshinweis Nr. 3245526, der mit einem CVSS-Wert von 9,9 bewertet wurde, behebt eine Sicherheitslücke in der Central Management Console (CMC), die es einem Angreifer ermöglicht, beliebigen Code einzuschleusen, was erhebliche negative Auswirkungen auf die Integrität, Vertraulichkeit und Verfügbarkeit des Systems hat.

Der SAP-Sicherheitshinweis Nr. 3283438 weist zwar einen etwas niedrigeren CVSS-Wert von 9,0 auf, was jedoch nicht bedeutet, dass er weniger kritisch ist. Die niedrigere CVSS-Bewertung ist darauf zurückzuführen, dass für eine erfolgreiche Ausnutzung die Interaktion mit einem anderen Benutzer erforderlich ist. Der Hinweis behebt eine Sicherheitslücke im SAP BO Adaptive Job Server, die die Ausführung beliebiger Betriebssystembefehle über das Netzwerk ermöglicht. Die Sicherheitslücke betrifft ausschließlich SAP-BO-Installationen auf UNIX-Plattformen.

Zwei weitere HotNews-Meldungen, die in Zusammenarbeit mit den Onapsis Research Labs ORL) veröffentlicht wurden, weisen einen CVSS-Wert von 9,6 auf und betreffen schwerwiegende Sicherheitslücken im Zusammenhang mit Verzeichnisüberquerung in SAP NetWeaver AS ABAP.

Der SAP-Sicherheitshinweis Nr. 3302162 deaktiviert das Programm SAPRSBRO, das von SAP-Diensten zur Konfiguration des Systems für branchenspezifische Texte verwendet wird. Der Patch verhindert, dass Angreifer ohne Administratorrechte beliebige kritische Betriebssystemdateien überschreiben können.

Der SAP-Sicherheitshinweis Nr. 3294595 behebt eine ähnliche Sicherheitslücke in anderen Diensten eines SAP NetWeaver AS ABAP. Diese Sicherheitslücke wurde durch das Include-Programm RSPOXTAB verursacht, das den Zugriff auf Dateien ermöglicht, denen im System kein logischer Dateiname zugewiesen ist. SAP hatte das Problem bereits im Januar über den Korrekturhinweis Nr. 1512430 (kein Sicherheitshinweis) behoben, indem die Verbraucher dieses Include-Programms gepatcht wurden. Die mit dem SAP-Sicherheitshinweis Nr . 3294595 bereitgestellte Lösung ist jedoch sicherer, da sie das Include direkt behebt und somit sowohl aktuelle als auch zukünftige Kunden automatisch schützt. Die fünfte neue HotNews behebt Control weitere kritische Control „Unangemessene Control in SAP NetWeaver AS Java. Der SAP-Sicherheitshinweis Nr. 3252433, der mit einem CVSS-Score von 9,9 bewertet ist, patcht den Locking Service von AS Java, der für die Anforderung von Sperren beim Enqueue Service zuständig ist. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, sich an eine offene Schnittstelle anzuschließen und eine offene Naming- und Directory-API zu nutzen, um auf Dienste zuzugreifen. Diese Dienste können dazu verwendet werden, unbefugte Operationen durchzuführen und Benutzer sowie Dienste systemübergreifend zu beeinträchtigen. 

Die Notizen mit hoher Priorität im Detail

Alle vier „High Priority Notes“ wurden in Zusammenarbeit mit der ORL veröffentlicht und beheben insgesamt sieben Sicherheitslücken.

Der SAP-Sicherheitshinweis Nr. 3296476, der mit einem CVSS-Wert von 8,8 versehen ist, behebt Sicherheitslücken, die die Ausführung von Remote-Code in mehreren remote-fähigen Funktionsbausteinen ermöglichen. Diese Funktionsbausteine werden vom SAP Active Global Support verwendet, um benutzerdefinierten Code zu evaluieren und den dynamischen Aufruf beliebiger lokaler Funktionsbausteine zu ermöglichen, sofern deren Schnittstelle bestimmte Bedingungen erfüllt. Angreifer benötigen lediglich die entsprechende S_RFC-Berechtigung, entweder für einen der Funktionsbausteine oder für die gesamte Funktionsgruppe. Die anfällige Funktionsgruppe wird mit dem ST-PI-Add-On ausgeliefert und betrifft somit SolutionManager-Systeme sowie die damit verbundenen ABAP-verwalteten Systeme.

Der SAP-Sicherheitshinweis Nr. 3294954, der mit einem CVSS-Wert von 8,7 versehen ist, behebt eine Directory-Traversal-Sicherheitslücke in einem remote-fähigen Funktionsbaustein von SAP NetWeaver AS ABAP. Ein erfolgreicher Angriff ermöglicht es einem Angreifer, beliebige Dateien auf Betriebssystemebene zu löschen und das System lahmzulegen. Das Problem entsteht dadurch, dass ein Importparameter des Funktionsbausteins relative Dateipfadausdrücke akzeptiert und den Parameterwert nicht angemessen überprüft.

Der SAP-Sicherheitshinweis Nr. 3296346 behebt eine Server-Side-Request-Forgery-Sicherheitslücke mit einem CVSS-Wert von 7,4 sowie eine Denial-of-Service-Sicherheitslücke mit einem CVSS-Wert von 6,5. Durch unzureichende Eingabekontrollen kann ein Angreifer, der als nicht-administrativer Benutzer authentifiziert ist, eine Anfrage erstellen, die den Anwendungsserver dazu veranlasst, eine Anfrage an eine beliebige URL zu senden. Diese URL könnte dazu genutzt werden, nicht sensible Informationen offenzulegen, zu verändern oder unzugänglich zu machen, was zu geringen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit führt. Die betroffene ABAP-Klasse weist zudem mehrere Schwachstellen bei der Fehlerbehandlung auf. Dies ermöglicht es einem Angreifer, eine Anfrage mit bestimmten Parametern zu erstellen, die die Ressourcen des Servers beanspruchen und diesen unzugänglich machen. Da die Klasse von SAP nicht mehr verwendet wird, wird die Implementierung der betroffenen Klasse durch den Patch zurückgezogen.   

Der SAP-Sicherheitshinweis Nr. 3275727 behebt eine Sicherheitslücke in der ausführbaren Datei „SAPOSCOL“, die zu einer Speicherbeschädigung führt und mit einem CVSS-Wert von 7,2 bewertet wurde. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf einen Serverport, der dem SAP-Startdienst zugewiesen ist, kann eine manipulierte Anfrage senden und einen Speicherfehler auslösen. Dieser Fehler kann dazu genutzt werden, technische Informationen über den Server auszulesen. Außerdem kann er dazu führen, dass ein bestimmter Dienst vorübergehend nicht verfügbar ist.

Weitere Beiträge der Onapsis Research Labs

Neben drei HotNews-Meldungen und vier Meldungen mit hoher Priorität trug das ORL zur Behebung von fünf Sicherheitslücken mit mittlerer Priorität bei.

Der SAP-Sicherheitshinweis Nr. 3284550, der mit einem CVSS-Wert von 6,8 bewertet wurde, behebt eine Schwachstelle im Zusammenhang mit XML External Entity im SAP Enterprise Portal. Eine fehlende Validierungsprüfung im XML-Parser ermöglicht es Angreifern mit entsprechenden Berechtigungen, auf den Parser zuzugreifen, manipulierte XML-Dateien zu übermitteln und Lesezugriff auf sensible Daten zu erlangen.

Der SAP-Sicherheitshinweis Nr. 3296328 hebt die Implementierung einer weiteren Klasse auf (siehe SAP-Sicherheitshinweis Nr . 3296346). Diese Klasse ermöglichte es einem Angreifer, durch speziell gestaltete Anfragen genügend Systemressourcen zu beanspruchen, um das System lahmzulegen.

Die vom ORL entdeckte Reihe von Control unzureichender Control in SAP NetWeaver AS Java wird durch drei SAP-Sicherheitshinweise ergänzt, die alle mit einem CVSS-Wert von 5,3 bewertet sind. Jeder Hinweis behebt Control in einem bestimmten Dienst, bei dem Authentifizierungs- und Autorisierungsprüfungen fehlen oder unzureichend sind. Dies ermöglicht es Angreifern, über eine offene Namens- und Verzeichnis-API auf einen Dienst zuzugreifen, wodurch sie sensible Serverkonfigurationen auslesen können, die für nachfolgende Angriffe genutzt werden könnten. Die Sicherheitshinweise und die behobenen Dienste lauten wie folgt:

Zusammenfassung und Schlussfolgerungen

Die Anzahl der neuen SAP-Sicherheitshinweise am SAP-Patch-Day im März ist mit der des Vormonats vergleichbar. Die behobenen Sicherheitslücken haben einmal mehr gezeigt, dass die Eingabevalidierung sowie ordnungsgemäße Authentifizierungs- und Autorisierungsprüfungen entscheidend für den Schutz von Anwendungen sind. Eine weitere Erkenntnis dieses Patch-Days: Beseitigen Sie ungenutzten Code, da dieser oft unerkannte Sicherheitsrisiken birgt. 

Wie immer Onapsis Research Labs die Platform, um die neu veröffentlichten Sicherheitslücken zu beheben, damit unsere Kunden ihre Unternehmen schützen können.

Wenn Sie mehr über die neuesten SAP-Sicherheitsprobleme und unsere kontinuierlichen Bemühungen erfahren möchten, Wissen mit der Sicherheits-Community zu teilen, abonnieren Sie unseren monatlichen The Defenders Digest -NewsletterThe Defenders Digest “.