^SAP® Security Advisories

Fehlende Berechtigungsprüfung in CRM_THTMLB_LOAD_CSS führt zum beliebigen Auslesen des Quellcodes von Berichten Auswirkungen auf das Geschäft Ein entfernter, authentifizierter Angreifer kann den Quellcode beliebiger Berichte vom Anwendungsserver auslesen. Dies hat geringe Auswirkungen auf die Vertraulichkeit des Systems und seiner Geschäftsanwendungen, wobei potenziell sensible Logik oder Informationen offengelegt werden könnten, die in … eingebettet sind.

Reflektiertes XSS in der BSP-Anwendung CRM_THTMLB_UTIL Auswirkungen auf das Geschäft Ein Angreifer kann eine Schwachstelle im Zusammenhang mit reflektiertem Cross-Site-Scripting (XSS) ausnutzen, um beliebigen JavaScript-Code im Browser des Opfers auszuführen. Dies kann zur Exfiltration sensibler Benutzerdaten, zu unbefugten Änderungen am System oder zur Umleitung auf bösartige Websites führen und somit die Vertraulichkeit und Integrität beeinträchtigen…

SAP NetWeaver Java Enterprise Portal – Auswirkungen einer unsicheren Deserialisierung im Übersetzungsarbeitsvorrat auf den Geschäftsbetrieb Ein authentifizierter Angreifer kann aus der Ferne eine Schwachstelle durch unsichere Deserialisierung ausnutzen, um beliebige Betriebssystembefehle auf dem Zielsystem auszuführen. Dies hat schwerwiegende Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit des Systems und seiner Geschäftsanwendungen und ermöglicht potenziell vollständigen…

SAP PO – SSRF mit CR-LF-Injektion in GRMG_WSRT Auswirkungen auf das Geschäft Ein entfernter, nicht authentifizierter Angreifer kann eine SSRF-Sicherheitslücke (Server-Side Request Forgery) ausnutzen, um manipulierte HTTP-Anfragen vom anfälligen Server aus zu senden. Dies könnte es dem Angreifer ermöglichen, interne offene Ports zu ermitteln oder auf interne Dienste zuzugreifen, was zu geringen Auswirkungen auf die Vertraulichkeit führen könnte…

SAP PO – Reflektiertes XSS im PCC-XML-Editor – Auswirkungen auf den Geschäftsbetrieb: Ein erfolgreicher Angriff könnte es einem nicht authentifizierten Angreifer ermöglichen, die Sitzung eines Benutzers zu kapern oder das Opfer dazu zu zwingen, unerwünschte Anfragen innerhalb der Anwendung „SAP Process Orchestration“ (PO) auszuführen. Dies kann zu unbefugtem Datenzugriff oder -änderung führen und die Vertraulichkeit und Integrität von … beeinträchtigen.

SAP PO – Aufzählung von Benutzern in GPWorkItemProvider Auswirkungen auf den Geschäftsbetrieb Ein nicht authentifizierter Angreifer von außen kann gültige Benutzernamen auf dem betroffenen SAP-System auflisten. Dies hat nur geringe Auswirkungen auf die Vertraulichkeit des Systems, ermöglicht es einem Angreifer jedoch, Informationen über vorhandene Benutzer zu sammeln und möglicherweise konfigurierte Dienste oder Anwendungen zu identifizieren, was dazu führen könnte, dass…

SAP PO – Aufzählung von Benutzern in der AuthorizationList – Auswirkungen auf das Geschäft Erfolgreiche Angriffe beeinträchtigen die Vertraulichkeit des SAP Process Orchestration (PO)-Systems. Ein nicht authentifizierter Angreifer kann gültige Benutzernamen auflisten, wodurch er seine Kenntnisse über die Zielumgebung erweitern kann. Darüber hinaus kann die Identifizierung bestimmter technischer Benutzer Aufschluss darüber geben, ob bestimmte Dienste oder Anwendungen…

SAP ADS – Herunterladen beliebiger Dateien aus PDF-Anhängen Auswirkungen auf den Geschäftsbetrieb Ein Remote-Angreifer mit weitreichenden Berechtigungen kann diese Sicherheitslücke ausnutzen, um beliebige Dateien aus dem Dateisystem des Anwendungsservers auszulesen. Dies hat erhebliche Auswirkungen auf die Vertraulichkeit des Systems, da dadurch der Zugriff auf kritische Informationen wie Anmeldedaten und … ermöglicht wird.

SAP ADS – Herunterladen beliebiger Dateien aus den Kunden-Schriftarten Auswirkungen auf das Geschäft Ein authentifizierter Angreifer mit hohen Berechtigungen kann aus der Ferne beliebige Dateien aus dem Dateisystem des Anwendungsservers auslesen. Dies hat erhebliche Auswirkungen auf die Vertraulichkeit des Systems und kann dazu führen, dass kritische Informationen und Anmeldedaten unbefugten Dritten zugänglich gemacht werden. Details zur Sicherheitslücke Die SAP…