SAP-Patch-Tag: Januar 2023
HotNews für SAP NetWeaver AS ABAP erfordern möglicherweise Korrekturen im benutzerdefinierten Code
Zu den wichtigsten Ergebnissen der Analyse der SAP-Sicherheitshinweise vom Januar gehören:
- Zusammenfassung Januar –12 neue und aktualisierte SAP-Sicherheitspatches veröffentlicht, darunter sieben HotNews-Hinweise
- Alle SAP-Kunden, die von den SAP HotNews-Hinweisen betroffen sind –Kritische Sicherheitslücken in SAP AS ABAP und Java behoben
- Onapsis Research Labs –Unser Team hat SAP dabei unterstützt, eine CVSS 9.4-Sicherheitslücke in SAP AS Java zu beheben
Das neue SAP-Sicherheitsjahr hat mit 12 neuen und aktualisierten SAP-Sicherheitshinweisen begonnen, darunter vier neue und drei aktualisierte HotNews-Hinweise.
Die drei aktualisierten HotNews-Hinweise umfassen die SAP-Sicherheitshinweise Nr. 3267780 und Nr. 3273480, die ursprünglich im Dezember 2022 von SAP veröffentlicht wurden. Sie beheben zwei Control im Zusammenhang mit unzureichender Control in SAP NetWeaver AS Java, die von den Onapsis Research Labsentdeckt wurden. Die aktualisierten Hinweise enthalten Patches für weitere Support-Paket-Levels von SAP NW AS Java 7.50.
Der SAP-Sicherheitshinweis Nr. 3243924, der mit einem CVSS-Wert von 9,9 bewertet wurde, war der kritischste Patch des SAP-Patch-Days im November 2022 und betraf Kunden von SAP BusinessObjects. Das Update enthält eine Erweiterung der vorgeschlagenen Abhilfe und weist darauf hin, dass zwei Webseiten nach Anwendung der Abhilfe nicht mehr erreichbar sind.
Die HotNews-Notizen im Detail
Der SAP-Sicherheitshinweis Nr. 3089413 weist zwar den niedrigsten CVSS-Wert aller neuen HotNews-Hinweise auf (CVSS 9,0), ist jedoch möglicherweise der kritischste des SAP-Patch-Days im Januar, da er die Mehrheit aller SAP-Kunden betrifft und seine Behebung eine Herausforderung darstellt. Eine Capture-Replay-Schwachstelle in der Architektur von „trusted-trusting“-RFC- und HTTP-Kommunikationsszenarien ermöglicht es böswilligen Benutzern, sich unberechtigten Zugriff auf ein SAP-System zu verschaffen. Die vollständige Behebung der Schwachstelle umfasst die Anwendung eines Kernel-Patches, eines ABAP-Patches sowie eine manuelle Migration aller vertrauenswürdigen RFC- und HTTP-Ziele. Beide Systeme eines Kommunikationsszenarios müssen gepatcht werden, um die Schwachstelle zu beheben.
Das Entwicklungsteam muss einbezogen werden, um den Code anzupassen, wenn in benutzerdefiniertem Code dynamische Ziele verwendet werden oder wenn dieser Code die Generierung permanenter oder temporärer RFC-Ziele über die SAP-API unter Verwendung von „trusted/trusting“-Beziehungen beinhaltet.
Die Tatsache, dass SAP ausdrücklich empfiehlt, vor der Installation des Patches eine Sicherung der betroffenen Systeme durchzuführen, deutet darauf hin, dass Kunden sich auf unvorhergesehene Probleme während des Patch- und Migrationsprozesses einstellen müssen. Der Hinweis verweist auf eine Anleitung in SAP-Hinweis Nr. 3281854 für die manuellen Migrationsschritte sowie auf eine FAQ-Liste in SAP-Hinweis Nr. 3157268. Dort finden Kunden Antworten auf wichtige Fragen wie:
- Wie kann ich die Angriffsfläche verringern?
- Funktionieren alte vertrauenswürdige/vertrauende Verbindungen weiterhin, nachdem auf einem System der erforderliche Kernel-Patch und der ABAP-Service-Level bzw. der ABAP-Patch installiert wurden?
- Funktionieren Vertrauensbeziehungen während der Migration?
- Was passiert, wenn nur eine Seite einer Vertrauensbeziehung die entsprechenden Korrekturanweisungen umgesetzt hat?
- Wie passe ich den betroffenen benutzerdefinierten Code an?
SAP-Kunden, deren Fragen in den FAQ nicht behandelt werden, empfehlen wir dringend, sich die Webcasts zu den SAP-Sicherheitshinweisen der American SAP User Group (ASUG) und der Deutschsprachigen SAP-Anwendergruppe (DSAG) anzusehen. Weitere Informationen finden Sie im Patch-Day-Blog von SAP.
An der Spitze der vier neuen HotNews-Hinweise stehen zwei Schwachstellen mit einem CVSS-Wert von 9,9. Der SAP-Sicherheitshinweis Nr. 3262810 behebt eine kritische Code-Injection-Schwachstelle in platform SAP BusinessObjects Business platform Analysis Edition für OLAP). Die Schwachstelle kann von einem authentifizierten Angreifer über das Netzwerk ausgenutzt werden und erhebliche Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung haben. Der Hinweis enthält einen Patch sowie eine Abhilfe für Kunden, die diesen Patch nicht sofort installieren können. Diese Abhilfe kann jedoch nur als vorübergehende Lösung dienen, da sie den betroffenen Dienst entfernt, stoppt oder deaktiviert.
Der SAP-Sicherheitshinweis Nr. 3275391 behebt die zweite Sicherheitslücke mit einem CVSS-Wert von 9,9. Durch Ausnutzung dieser Sicherheitslücke kann ein nicht authentifizierter Angreifer manipulierte Datenbankabfragen in SAP Business Planning and Consolidation Microsoft (SAP BPC MS) ausführen. Die manipulierten Abfragen können Befehle enthalten, mit denen beliebige Daten aus der Backend-Datenbank gelesen, geändert oder gelöscht werden können.
Der SAP-Sicherheitshinweis Nr. 3268093, der mit einem CVSS-Wert von 9,4 versehen ist, ist das Ergebnis der kontinuierlichen Sicherheitsforschung der Onapsis Research Labs(ORL). Nachdem das Messaging-System und die benutzerdefinierte Suche in SAP NW AS Java als anfällig für control unzureichende control identifiziert worden waren control siehe die aktualisierten HotNews-Hinweise Nr. 3267780 und Nr. 3273480), erkannte unser ORL-Team ein ähnliches Problem im rfcengine P4-Dienst. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, sich an eine offene Schnittstelle des Dienstes anzuschließen. Anschließend kann er eine offene Naming- und Directory-API nutzen, um auf Dienste zuzugreifen. Dies kann dazu genutzt werden, unbefugte Operationen durchzuführen, die Benutzer und Daten auf dem aktuellen System betreffen. Dadurch könnte der Angreifer vollständigen Lesezugriff auf Benutzerdaten erhalten, Änderungen an Benutzerdaten vornehmen und bestimmte Dienste innerhalb des Systems unzugänglich machen.
Zusammenfassung und Schlussfolgerungen
Auf den ersten Blick scheint das Jahr mit einem ruhigen SAP-Patch-Day zu beginnen. Mit nur neun neuen Sicherheitshinweisen, darunter vier HotNews-Hinweise, scheinen die Patch-Aufgaben überschaubar zu sein. Der HotNews-Hinweis Nr. 3089413 könnte jedoch viele SAP-Kunden betreffen, und die Komplexität der Abhilfemaßnahmen lässt auf einen hohen Arbeitsaufwand für SAP-Administratoren und möglicherweise auch für SAP-Entwicklungsabteilungen schließen.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Wie immer Onapsis Research Labs bereits Onapsis Research Labs , die Platform zu aktualisieren und die neu veröffentlichten Sicherheitslücken in das Produkt zu integrieren, damit unsere Kunden ihre Unternehmen schützen können.
Wenn Sie mehr über die neuesten SAP-Sicherheitsprobleme und unsere kontinuierlichen Bemühungen erfahren möchten, Wissen mit der Sicherheits-Community zu teilen, abonnieren Sie unseren monatlichen „Defender’s Digest Onapsis“-Newsletter.