SAP-Patch-Tag: September 2023

Von:

12. September 2023

Wichtige Patches für SAP BusinessObjects und SAP CommonCryptoLib veröffentlicht

Zu den wichtigsten Ergebnissen der Analyse der SAP-Sicherheitshinweise vom September gehören:

  • Zusammenfassung für September– 18 neue und aktualisierte SAP-Sicherheitspatches veröffentlicht, darunter fünf HotNews-Hinweise und zwei Hinweise mit hoher Priorität
  • SAP BusinessObjects im Fokus– Fünf Patches veröffentlicht, darunter zwei HotNews-Hinweise und ein Hinweis mit hoher Priorität
  • Onapsis Research Labs – Unser Team hat SAP dabei unterstützt, eine Sicherheitslücke mit hoher Priorität in der SAP CommonCryptoLib zu beheben

SAP hat an seinem Patch Day im September achtzehn neue und aktualisierte Sicherheitshinweise veröffentlicht (einschließlich der Hinweise, die seit dem letzten Patch Tuesday veröffentlicht oder aktualisiert wurden). Darunter befinden sich fünf HotNews-Hinweise und zwei Hinweise mit hoher Priorität. 

Einer der fünf HotNews-Hinweise ist der regelmäßig erscheinende SAP-Sicherheitshinweis Nr. 2622660, der ein Update für den SAP Business Client einschließlich der neuesten unterstützten Chromium-Patches bereitstellt. Der SAP Business Client unterstützt nun Chromium-Version 116.0.5845.97, die insgesamt 67 Sicherheitslücken behebt, darunter eine mit kritischer und 31 mit hoher Priorität. Der maximale CVSS-Wert aller behobenen Sicherheitslücken beträgt 8,8. 

Der HotNews-Hinweis Nr. 3245526, der mit einem CVSS-Wert von 9,9 versehen ist, ist eine Aktualisierung eines Patches, der ursprünglich im März 2023 von SAP veröffentlicht wurde. Er behebt eine schwerwiegende Code-Injection-Sicherheitslücke in SAP BusinessObjects. Der Abschnitt „Support-Pakete und Patches“ des Hinweises wurde mit den neuesten Patch-Ständen aktualisiert. 

Der HotNews-Hinweis Nr. 3273480, der mit einem CVSS-Wert von 9,9 versehen ist, ist ein weiteres Update, das nur notwendig wurde, weil der Sicherheitshinweis zuvor versehentlich gelöscht worden war. Es sind keine Maßnahmen seitens der Kunden erforderlich.

Die neuen HotNews -Notizen im Detail

Der SAP-Sicherheitshinweis Nr. 3320355, der mit einem CVSS-Wert von 9,9 versehen ist, ist ein neuer HotNews-Hinweis für SAP BusinessObjects. Der Auftragsordner der Komponente „Promotion Management“ ist anfällig für eine Offenlegung von Informationen. Ein erfolgreicher Angriff liefert Informationen, die für nachfolgende Angriffe genutzt werden können und zu einer vollständigen Kompromittierung der Anwendung führen. Als Workaround empfiehlt SAP, nur dem erforderlichen Benutzer die entsprechenden Rechte zu erteilen, damit dieser über das Promotion Management auf Promotions zugreifen und diese durchführen kann. Normale Benutzer verfügen standardmäßig nicht über Anzeigerechte; den Benutzern der Administratorgruppe sollten jedoch die Anzeigerechte für den Ordner „Promotion-Jobs“ ausdrücklich verweigert werden.

Der SAP-Sicherheitshinweis Nr. 3340576, der mit einem CVSS-Wert von 9,8 bewertet wurde, ist der zweite neue HotNews-Hinweis des SAP-Patch-Days im September. Fehlende oder fehlerhafte Berechtigungsprüfungen in der SAP CommonCryptoLib können zu einer Rechteausweitung führen. Die daraus resultierenden Auswirkungen hängen von der Anwendung und dem Umfang der erlangten Rechte ab. Im schlimmsten Fall können Angreifer die betroffene Anwendung vollständig kompromittieren.

SAP-Sicherheitshinweise mit hoher Priorität

Neben den HotNews-Hinweisen für SAP BusinessObjects und SAP CommonCryptoLib hat SAP auch Hinweise mit hoher Priorität für diese beiden Anwendungen veröffentlicht.  

Der SAP-Sicherheitshinweis Nr. 3370490, der mit einem CVSS-Wert von 8,7 versehen ist, behebt eine Sicherheitslücke aufgrund unzureichender Dateitypüberprüfung in der Web Intelligence-HTML-Schnittstelle der SAP BusinessObjects Business Intelligence Platform. Beim Hochladen einer lokalen Bilddatei im Rahmen der Berichterstellung könnte ein authentifizierter Angreifer die Anfrage abfangen und den Inhaltstyp sowie die Dateiendung ändern. Dies würde es ihm ermöglichen, sensible Daten zu lesen und zu verändern, was erhebliche Auswirkungen auf die Vertraulichkeit und Integrität der Anwendung hätte.

Onapsis Research Labs SAP dabei Onapsis Research Labs , eine Sicherheitslücke mit hoher Priorität im Zusammenhang mit einer Speicherbeschädigung in SAP CommonCryptoLib zu beheben. Der entsprechende SAP-Sicherheitshinweis Nr . 3327896, der mit einem CVSS-Wert von 7,5 versehen ist, enthält Patches für alle betroffenen Anwendungen:

  • Kernel-Patch für SAP NetWeaver AS ABAP, SAP NetWeaver AS Java und Platform ABAP Platform S/4HANA On-Premise
  • SAPSSOEXT-Bibliothek
  • SAP Web Dispatcher
  • SAP-Host-Agent
  • SAP Content Server
  • SAP-HANA-Datenbank
  • SAP Extended Application Services and Runtime (XSA)

Die gute Nachricht ist, dass alle Patches für HotNews Note #3340576 diese Sicherheitslücke automatisch beheben. Es gibt nur eine Ausnahme: Während die HotNews Note keine Auswirkungen auf SAP-HANA-Revisionen auf Basis von 2.0 SPS 05 hat, ist dies bei #3327896 der Fall. Die für den Patch #3327896 erforderliche Revision lautet 2.00.059.10.

Informationen für SAP-BusinessObjects-Kunden

SAP hat insgesamt fünf Patches für SAP BusinessObjects bereitgestellt. Die folgende Tabelle bietet einen schnellen Überblick darüber, welche Service-Patch-Stufen von welchen Sicherheitslücken betroffen sind und welche Patch-Stufen diese beheben:

SAP-Hinweis

CVSS

Version der Softwarekomponente

Betroffene SP

Patch-Stand

#3320355

9.9

SBOP BI PLATFORM 4.2
SBOP BI PLATFORM 4.3

SP009
SP002
SP003
SP004

001600
001201
000600
000000

#3245526

9.9

SBOP BI PLATFORM 4.2

SBOP BI PLATFORM 4.3

SP009
SP002
SP003
SP004   

001300
001000
000100
000000

#3370490

8.7

SBOP BI PLATFORM 4.2

SP009

001600

#3317702

6.2

SBOP BI PLATFORM 4.2
SBOP BI PLATFORM 4.3
SBOP BI PLATFORM 4.2
SBOP BI PLATFORM 4.3

SP009
SP003
SP009
SP003

001600
000600
001600
000600

#3352453

5.3

SBOP BI PLATFORM 4.3

SP003
SP004

000600
000000

  
Zusammenfassend lässt sich sagen, dass alle Sicherheitslücken in SAP BusinessObjects mit den folgenden Patch-Levels behoben wurden:
 

Version der Softwarekomponente

Betroffene SP

Patch-Stand

SBOP BI PLATFORM 4.2

SBOP BI PLATFORM 4.2
SBOP BI PLATFORM 4.3

SBOP BI PLATFORM 4.3

SP009
SP009
SP002
SP003
SP004
SP003

001600
001600
001201
000600
000000
000600

Zusammenfassung und Schlussfolgerung

Mit achtzehn neuen und aktualisierten SAP-Sicherheitshinweisen, darunter fünf HotNews-Hinweise und zwei Hinweise mit hoher Priorität, scheint der Patch-Tag von SAP im September besonders umfangreich zu sein. Da es sich bei zwei der HotNews-Hinweise jedoch nur um geringfügige Aktualisierungen handelt, die keine Maßnahmen seitens der Kunden erfordern, und die Umsetzung der Hinweise zu SAP BusinessObjects und SAPCryptoLib keinen großen Aufwand erfordert, ist der Patch-Aufwand überschaubar. 

SAP-Hinweis

Typ

Beschreibung

Priorität

CVSS

3245526

Aktualisierung

[CVE-2023-25616] Sicherheitslücke durch Code-Injektion in Platform SAP Business Objects Business Intelligence Platform CMC)

 

BI-BIP-CMC

Aktuelles

9,9

3357163

Neu

[CVE-2023-40621] Sicherheitslücke durch Code-Injektion im SAP PowerDesigner Client

 

BC-SYB-PD

Mittel

6,3

3355675

Neu

[CVE-2023-41368] Sicherheitslücke durch unsichere direkte Objektreferenz (IDOR) in SAP S/4HANA (Apps zur Verwaltung von Scheckheften)

 

FI-FIO-AP-CHK

Niedrig

2,7

3326361

Neu

[CVE-2023-40625] Fehlende Berechtigungsprüfung in der App „Kaufverträge verwalten“

 

MM-FIO-PUR-SQ-CON

Mittel

5,4

3370490

Neu

[CVE-2023-42472] Unzureichende Überprüfung des Dateityps in Platform SAP BusinessObjects Business Intelligence Platform Web Intelligence HTML-Schnittstelle)

 

BI-RA-WBI-FE

Hoch

8,7

3348142

Neu

[CVE-2023-41367] Fehlende Authentifizierungsprüfung in SAP NetWeaver (Guided Procedures)

 

BC-GP

Mittel

5,3

3352453

Neu

[CVE-2023-37489] Sicherheitslücke durch Offenlegung von Informationen in Platform SAP BusinessObjects Business Intelligence Platform Versionsverwaltungssystem)

 

BI-BIP-LCM

Mittel

5,3

3349805

Neu

Sicherheitslücke, die zu einem Denial-of-Service (DOS) führen kann, aufgrund der Verwendung einer anfälligen Version von Commons FileUpload in SAP Quotation Management Insurance (FS-QUO)

 

FS-QUO

Mittel

5,7

3327896

Neu

[CVE-2023-40308] Sicherheitslücke durch Speicherbeschädigung in SAP CommonCryptoLib

 

BC-IAM-SSO-CCL

Hoch

7,5

3323163

Neu

[CVE-2023-40624] Sicherheitslücke durch Code-Injektion in SAP NetWeaver AS ABAP (Anwendungen auf Basis von Unified Rendering)

 

BC-WD-UR

Mittel

5,5

3320355

Neu

[CVE-2023-40622] Sicherheitslücke durch Offenlegung von Informationen in Platform SAP BusinessObjects Business Intelligence Platform Promotion Management)

 

BI-BIP-LCM

Aktuelles

9,9

3317702

Neu

[CVE-2023-40623] Beliebiges Löschen von Dateien über Verzeichnisverknüpfungen in der SAP BusinessObjects Suite (Installationsprogramm)

 

BI-BIP-INS

Mittel

6,2

2622660

Aktualisierung

Sicherheitsupdates für das control Chromium“, das mit dem SAP Business Client ausgeliefert wird

 

BC-FES-BUS-DSK

Aktuelles

10,0

3273480

Aktualisierung

[CVE-2022-41272] Unzureichende control SAP NetWeaver AS Java (benutzerdefinierte Suche)

 

BC-XI-CON-UDS

Aktuelles

9,9

3369680

Neu

[CVE-2023-41369] Sicherheitslücke durch „External Entity Loop“ in SAP S/4HANA (Anwendung „Einzelzahlung erstellen“)

 

FI-FIO-AP

Niedrig

3,5

3340576

Neu

[CVE-2023-40309] Fehlende Autorisierungsprüfung in SAP CommonCryptoLib

 

BC-IAM-SSO-CCL

Aktuelles

9,8

3156972

Aktualisierung

[CVE-2023-40306] Sicherheitslücke durch URL-Umleitung in SAP S/4HANA (Verwaltung von Katalogartikeln und katalogübergreifende Suche)

 

MM-FIO-PUR-REQ-SSP

Mittel

6,1

3149794

Aktualisierung

Cross-Site-Scripting-Schwachstellen (XSS) in der jQuery-UI-Bibliothek, die im Lieferumfang von SAPUI5 enthalten ist

 

CA-UI5-COR

Mittel

6,1

Onapsis Research Labs aktualisiert die Platform Onapsis Research Labs mit den neuesten threat intelligence Sicherheitsempfehlungen, damit unsere Kunden den sich ständig weiterentwickelnden Bedrohungen immer einen Schritt voraus sind und ihre Unternehmen schützen können.

Weitere Informationen zu den neuesten SAP-Sicherheitsproblemen und unseren kontinuierlichen Bemühungen, Wissen mit der Sicherheits-Community zu teilen, finden Sie unter The Defenders Digest– unsere monatliche Videozusammenfassung der ERP-Sicherheitsnachrichten.

Stichworte,
Über den Autor

Thomas Fritsch

Als führender SAP-Sicherheitsforscher bei Onapsis gilt Thomas Fritsch als anerkannte Autorität in den Bereichen vulnerability management und neue Bedrohungen. Aufgrund seiner langjährigen Erfahrung als SAP-Experte konzentriert er sich auf hochtechnische Bereiche wie die Konfiguration von SAP-Systemen und das Transportmanagement. Thomas’ Analysen der neuesten SAP-Sicherheitspatches und -Schwachstellen sind ein zentraler Bestandteil der Forschungsarbeit, die Unternehmen die fundierten und umsetzbaren Erkenntnisse liefert, die sie zum Schutz ihrer Systeme benötigen. Seine Rolle als angesehener Redner und Autor festigt seinen Ruf als maßgebliche Stimme im Bereich der SAP-Cybersicherheit und trägt dazu bei, die Lücke zwischen komplexer Forschung und praktischen Sicherheitsmaßnahmen in der realen Welt zu schließen.

Mehr über diesen Autor
Zurück zum Blog

Weiterführende Literatur

Blog

Wie der Verizon DBIR 2026 das Paradoxon bei der Behebung von Sicherheitslücken in SAP verdeutlicht

Jedes Jahr nimmt sich die Sicherheitsbranche Zeit, um den „Verizon Data Breach Investigation Report“ zu analysieren. Als maßgebliche, datengestützte Analyse darüber, wie Sicherheitsverletzungen in der Praxis ablaufen, bietet der Bericht einen unschätzbaren Realitätscheck. Für diejenigen unter uns, deren Aufgabe es ist, die zentralen Geschäftsanwendungen zu schützen, die die Weltwirtschaft am Laufen halten (insbesondere SAP- und Oracle-ERP-Systeme), ist der Mandiant…

Weiterlesen
Blog

Umsetzung der DORA-Konformität: Absicherung von SAP anhand der fünf Kernsäulen

Da das Gesetz zur digitalen Betriebsresilienz (DORA) nun aktiv durchgesetzt wird, müssen Finanzinstitute den Übergang von der theoretischen Governance zur technischen Umsetzung vollziehen. Die Einbindung dieser strengen Vorgaben in eine umfassende SAP-GRC-Strategie ist unerlässlich. Die Aufsichtsbehörden verlangen den eindeutigen Nachweis, dass kritische Infrastrukturen, einschließlich unternehmensweiter SAP-Umgebungen, schweren Cybervorfällen standhalten und sich davon erholen können. Dieser technische Leitfaden beleuchtet…

Weiterlesen