SAP-Patch-Tag: Oktober 2023

Zu den wichtigsten Ergebnissen der Analyse der SAP-Sicherheitshinweise vom Oktober gehören:

• Zusammenfassung für Oktober – Neun neue und aktualisierte SAP-Sicherheitspatches veröffentlicht, darunter eine HotNews-Meldung   
• SAP Business Client-Update – Chromium-Korrekturen, die besonderer Beachtung bedürfen
• Log-Injection in SAP NW AS Java – Zur vollständigen Behebung sind zwei Patches erforderlich

SAP hat im Rahmen seines „Patch Day“ im Oktober neun neue und aktualisierte Sicherheitshinweise veröffentlicht (einschließlich der Hinweise, die seit dem „Patch Tuesday“ im September veröffentlicht oder aktualisiert wurden). Darunter befindet sich ein „Hot News“-Hinweis. 

Der SAP-Patch-Day im Oktober verlief äußerst ruhig. Die einzige „Hot News Note“ ist eine Aktualisierung des SAP-Sicherheitshinweises Nr . 2622660, der regelmäßige Patches für den SAP Business Client enthält, darunter die neuesten getesteten Chromium-Patches. Die übrigen veröffentlichten SAP-Sicherheitshinweise haben mittlere Priorität. 

HotNews -Meldung Nr . 2622660 im Detail

Kunden des SAP Business Client wissen bereits, dass Updates dieses Hinweises stets wichtige Korrekturen enthalten, die unbedingt umgesetzt werden müssen. Das neueste Update des Hinweises umfasst 37 Chromium-Korrekturen, darunter zwei Probleme mit der Priorität „Kritisch“ und zwanzig mit der Priorität „Hoch“. Die beiden kritischen Patches beheben CVE-2023-4863, das einen Fehler in der Bildwiedergabebibliothek des WebP-Codecs (libwebp) beschreibt. Die WebP-Codec-Bibliothek dient zur Kodierung und Dekodierung von Bildern im WebP-Format und ist nicht nur in Chrome enthalten, sondern wird auch von Chromium genutzt und ist in vielen anderen Anwendungen wie Firefox, Edge, Opera, Signal und Telegram integriert. Laut Google kann die Sicherheitslücke bereits durch das Anzeigen eines manipulierten Bildes ausgenutzt werden. Google gibt an, dass bereits Exploits für CVE-2023-4863 im Umlauf sind. Dies gilt auch für das Problem mit hoher Priorität CVE-2023-5217, das mit Chromium 117.0.5938.132 behoben wurde. Im Zusammenhang mit dem SAP Business Client beträgt der maximale CVSS-Score, den SAP für alle neuen Chromium-Korrekturen ermittelt hat, 8,8. 

Informationen zum SAP-Sicherheitshinweis Nr . 3371873

Der SAP-Sicherheitshinweis Nr. 3371873, der mit einem CVSS-Score von 5,3 versehen ist, stellt eine Aktualisierung des Hinweises Nr. 3324732 dar, der ursprünglich von SAP am Patch Day im Juli veröffentlicht wurde. Beide Hinweise beheben eine Log-Injection-Sicherheitslücke in SAP NetWeaver AS for Java, die SAP Onapsis Research Labs dieses Jahres von den Onapsis Research Labs gemeldet wurde. Im Gegensatz zu vielen anderen Updates ersetzt der Update-Hinweis Nr . 3371873 den ursprünglichen Patch nicht vollständig. Kunden müssen beide Hinweise implementieren, um vollständig geschützt zu sein. Während der ursprüngliche Hinweis Nr. 3324732 Patches für alle drei betroffenen Softwarekomponenten (ENGINEAPI, SERVERCORE und J2EE-APPS) enthält, aktualisiert der Hinweis Nr. 3371873 nur die ENGINEAPI-Komponente, da der Patch Nr. 3324732 für diese Komponente unvollständig war.

Zusammenfassung und Schlussfolgerung

Mit nur neun SAP-Sicherheitshinweisen und ohne neue „Hot News“ oder Hinweise mit hoher Priorität zählt der SAP-Patch-Day im Oktober zu den ruhigsten Patch-Tagen der letzten fünf Jahre. Obwohl SAP die neu behobenen Chromium-Sicherheitslücken im Zusammenhang mit dem SAP Business Client mit einem maximalen CVSS-Wert von 8,8 bewertet hat, empfehlen wir Ihnen dringend, die verfügbaren Ressourcen auf weitere betroffene Anwendungen zu überprüfen, die auf Ihrem geschäftlichen oder privaten PC laufen, da die Sicherheitslücken Ihre Frontends gefährden. 
 

Onapsis Research Labs aktualisiert die Platform Onapsis Research Labs mit den neuesten threat intelligence Sicherheitsempfehlungen, sodass Kunden den sich ständig weiterentwickelnden Bedrohungen immer einen Schritt voraus sind und ihre Unternehmen schützen können.

Weitere Informationen zu den neuesten SAP-Sicherheitsproblemen und unseren kontinuierlichen Bemühungen, Wissen mit der Sicherheits-Community zu teilen, finden Sie unter The Defenders Digest– unsere monatliche Videozusammenfassung der ERP-Sicherheitsnachrichten.