Drei neue Hinweise mit hoher Priorität und ein wichtiger Hinweis zu bewährten Verfahren (CVSS 0.0)

Zu den wichtigsten Ergebnissen der Analyse der SAP-Sicherheitshinweise vom März gehören:

• Zusammenfassung für März—25 neue und aktualisierte SAP-Sicherheitspatches veröffentlicht, darunter fünf Hinweise mit hoher Priorität
• Transaktion SA38 wurde gepatcht—Die Sicherheitslücke ermöglicht die Ausführung von ABAP-Class-Builder-Funktionen, was erhebliche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit hat 
• Leitfaden für bewährte Verfahren für SAP BTP—Besondere Aufmerksamkeit ist für Kunden erforderlich, die Java-Anwendungen entwickeln, die mit dem Spring Framework implementiert sind

SAP hat an seinem Patch Day im März 25 SAP-Sicherheitshinweise veröffentlicht (einschließlich der Hinweise, die seit dem letzten Patch Tuesday veröffentlicht oder aktualisiert wurden). Darunter befinden sich fünfHinweise mit hoher Priorität. 

Zwei der fünf Sicherheitshinweise mit hoher Priorität sind Aktualisierungen bereits veröffentlichter Patches.

Der SAP-Sicherheitshinweis Nr. 3567974, der mit einem CVSS-Wert von 8,1 versehen ist, wurde ursprünglich am Patch Day im Februar von SAP veröffentlicht und behebt eine Sicherheitslücke im SAP App Router. Der Abschnitt „Symptome“ des Hinweises wurde aktualisiert und es wurde ein FAQ-Hinweis hinzugefügt (Nr. 3571636).

Der SAP-Sicherheitshinweis Nr. 3483344 wurde um Korrekturen für weitere betroffene Softwarekomponenten erweitert. Der Hinweis behebt eine kritische Sicherheitslücke in SAP PDCE, die auf einer fehlenden Berechtigungsprüfung beruht und erhebliche Auswirkungen auf die Vertraulichkeit der Anwendung haben kann.

Die neuen Notizen mit hoher Priorität im Detail

Der SAP-Sicherheitshinweis Nr. 3563927, der mit einem CVSS-Wert von 8,8 bewertet wurde, betrifft eine Vielzahl von SAP-Kunden. Er behebt eine kritische Sicherheitslücke in der Transaktion SA38 eines SAP NetWeaver Application Server ABAP, die den Zugriff auf Funktionen des Class Builders ermöglicht, die eigentlich auf die ABAP Development Workbench beschränkt sein sollten. Bleibt diese Sicherheitslücke ungepatcht, sind alle Anwendungen einem hohen Risiko hinsichtlich ihrer Vertraulichkeit, Integrität und Verfügbarkeit ausgesetzt. 

Der SAP-Sicherheitshinweis Nr. 3569602, der mit einem CVSS-Score von 8,8 versehen ist, behebt eine Cross-Site-Scripting-Sicherheitslücke (XSS) in SAP Commerce, die durch die Open-Source-Bibliothek „swagger-ui“ verursacht wurde. Die „Explore“-Funktion von Swagger UI, die für DOM-basierte XSS-Angriffe anfällig war, ermöglicht es einem nicht authentifizierten Angreifer, bösartigen Code aus entfernten Quellen einzuschleusen. Ein erfolgreicher Exploit kann erhebliche negative Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung haben. Glücklicherweise weist SAP darauf hin, dass der Exploit erhebliche Benutzerinteraktion erfordert, da das Opfer dazu gebracht werden muss, eine bösartige Payload in ein Eingabefeld einzugeben. Als Workaround können Kunden jegliche Verwendung von swagger-ui in SAP Commerce entfernen oder den Zugriff auf Swagger-Konsolen blockieren.

Der SAP-Sicherheitshinweis Nr. 3566851, der mit einem CVSS-Wert von 8,6 versehen ist, behebt eine Denial-of-Service-Schwachstelle (DOS) sowie eine Schwachstelle durch eine ungeprüfte Fehlerbedingung in Cloud SAP Commerce Cloud. Die Anwendung enthält eine Version von Apache Tomcat, die für die Schwachstellen CVE-2024-38286 und CVE-2024-52316 anfällig ist. Der Hinweis enthält Updates mit gepatchten Tomcat-Versionen.

Über den SAP-Sicherheitshinweis mit CVSS 0.0

SAP Security #3576540, das mit einem CVSS-Wert von 0,0 gekennzeichnet ist (nein, das ist kein Tippfehler), enthält Best-Practice-Informationen zu benutzerdefinierten Java-Anwendungen in SAP BTP , die mit dem Spring Framework SAP BTP . Für solche Anwendungen verwenden Entwickler häufig den Spring Boot Activator, ein Tool, das verschiedene URL-Endpunkte bereitstellt, über die Anwendungsdaten in Echtzeit abgerufen werden können, was die Fehlersuche und Überwachung erleichtert. Ohne angemessene Sicherheitsmaßnahmen können diese Endpunkte jedoch schwerwiegende Sicherheitslücken verursachen. Der Hinweis listet die betroffenen Endpunkte detailliert auf und beschreibt die genauen Bedingungen für betroffene Anwendungen.

Zusammenfassung und Schlussfolgerungen

Mit 25 SAP-Sicherheitshinweisen, darunter fünf Hinweise mit hoher Priorität, ist der SAP-Patch-Day im März erneut sehr umfangreich. Es ist der erste Patch-Day, an dem ein Hinweis mit einem CVSS-Wert von 0,0 veröffentlicht wird. SAP BTP werden jedoch zustimmen, dass dieser Hinweis ein perfektes Beispiel dafür ist, dass man sich bei der Priorisierung von SAP-Sicherheitshinweisen nicht nur auf die CVSS-Werte verlassen sollte.

Wie immer Onapsis Research Labs bereits Onapsis Research Labs , die Platform zu aktualisieren und die neu veröffentlichten Sicherheitslücken in das Produkt zu integrieren, damit unsere Kunden ihre Unternehmen schützen können.

Wenn Sie mehr über die neuesten SAP-Sicherheitsprobleme und unsere kontinuierlichen Bemühungen erfahren möchten, Wissen mit der Sicherheits-Community zu teilen, abonnieren Sie unseren monatlichen „Defenders Digest Onapsis“-Newsletter auf LinkedIn.