Security Advisories zuSAP®undOracle®
Onapsis Research Labs das weltweit führende Team von Sicherheitsexperten, das sein fundiertes Wissen über kritische ERP-Anwendungen mit jahrzehntelanger threat research in threat research kombiniert, um aussagekräftige Sicherheitserkenntnisse und threat intelligence zu liefern, threat intelligence auf geschäftskritische Anwendungen von SAP, Oracle und SaaS-Anbietern threat intelligence . Onapsis Research Labs mit Abstand der produktivste und renommierteste Lieferant von Forschungsergebnissen zu Sicherheitslücken für das SAP Product Security Response Team. Kein anderes Forschungsteam kommt auch nur annähernd an diese Leistung heran.
23.07.2025
SAPStartSrv – Pufferüberlauf bei der Vorabautorisierung
SAPStartSrv – Pufferüberlauf bei der Vorabauthentifizierung Auswirkungen auf den Geschäftsbetrieb Wenn der Parameter service/localconnection = compat ist: Ein nicht authentifizierter Angreifer könnte dies aus der Ferne ausnutzen, um beliebige Befehle auf Betriebssystemebene als NT-System- oder Root-Benutzer auszuführen. Wenn der Parameter service/localconnection nicht gesetzt ist: Ein authentifizierter Angreifer mit geringen Berechtigungen könnte dies lokal ausnutzen, um beliebige…
23.07.2025
SAPStartSrv – Einfügen von Betriebssystembefehlen vor der Authentifizierung als Root oder System
SAPStartSrv – Einfügen von Betriebssystembefehlen vor der Authentifizierung als Root oder System Auswirkungen auf den Geschäftsbetrieb Wenn der Parameter service/localconnection = compat ist: Ein nicht authentifizierter Angreifer könnte dies aus der Ferne nutzen, um beliebige Befehle auf Betriebssystemebene als Systemadministrator (Root oder SYSTEM) auszuführen. Wenn der Parameter service/localconnection nicht gesetzt ist: Ein authentifizierter Angreifer mit geringen Berechtigungen könnte lokal…
18.07.2025
SAP Host Agent – SAPOscol-Namensraum – Fehlende Authentifizierung
SAP Host Agent – SAPOscol-Namensraum – Fehlende Authentifizierung Auswirkungen auf den Geschäftsbetrieb Erfolgreiche Angriffe führen zur Offenlegung von Informationen und erweitern den Handlungsspielraum des Angreifers. Betroffene Komponenten Beschreibung Der SAP Host Agent kann verschiedene Aufgaben im Lebenszyklus ausführen, wie z. B.: Betriebssystemüberwachung, Datenbanküberwachung, control Systeminstanzen control Vorbereitung von Upgrades. Wird automatisch installiert während…
17.07.2025
SAP Host Agent – sapstartsrv – Unerlaubter Speicherzugriff in MsIGetProfileValue
SAP Host Agent – sapstartsrv – Unerlaubter Speicherzugriff in MsIGetProfileValue Auswirkungen auf den Geschäftsbetrieb Aus der Ferne ausnutzbar, ohne Authentifizierung; ein Angreifer könnte einen Denial-of-Service-Angriff auf alle sapstartsrv-Dienste durchführen. Dies führt zu direkten Auswirkungen auf die Verfügbarkeit dieses Dienstes und zu erheblichen Verfügbarkeitsproblemen für das SAP-System. Betroffene Komponenten Beschreibung Der SAP Host Agent kann verschiedene Aufgaben im Lebenszyklus ausführen…
17.07.2025
SAP Host Agent – Offenlegung von Anmeldedaten über Protokolldateien
SAP Host Agent – Offenlegung von Anmeldedaten über Protokolldateien – Auswirkungen auf den Geschäftsbetrieb Durch Ausnutzung dieser Sicherheitslücke kann ein böswilliger Benutzer mit geringen Berechtigungen SDA-Anmeldedaten (sapadm) sowie einige technische SAP-NetWeaver-Anmeldedaten (wie FRN_DPC_SID oder FRN_CSA_SID) abrufen und diese anschließend verwenden, um sich bei SAP NetWeaver oder im SDA anzumelden und böswillige oder sensible…