Security Advisories zu^SAP®und^Oracle®

IS-OIL – OS-Befehlsinjektion in FM OIB_QCI_SERVER Auswirkungen auf den Geschäftsbetrieb Ein erfolgreicher Angriff könnte es einem Angreifer ermöglichen, als SAP-Systemadministrator (sidadm) blinde Betriebssystembefehle auszuführen. Dies führt zu einer vollständigen Kompromittierung des SAP-NetWeaver-Systems. Details zur Sicherheitslücke In FM OIB_QCI_SERVER, das im OIB_QCI-Paket enthalten ist und von IS-OIL bereitgestellt wird, besteht eine Sicherheitslücke durch OS-Befehlsinjektion…

SAPStartSrv – Pufferüberlauf bei der Vorabauthentifizierung Auswirkungen auf den Geschäftsbetrieb Wenn der Parameter service/localconnection = compat ist: Ein nicht authentifizierter Angreifer könnte dies aus der Ferne ausnutzen, um beliebige Befehle auf Betriebssystemebene als NT-System- oder Root-Benutzer auszuführen. Wenn der Parameter service/localconnection nicht gesetzt ist: Ein authentifizierter Angreifer mit geringen Berechtigungen könnte dies lokal ausnutzen, um beliebige…

SAPStartSrv – Einfügen von Betriebssystembefehlen vor der Authentifizierung als Root oder System Auswirkungen auf den Geschäftsbetrieb Wenn der Parameter service/localconnection = compat ist: Ein nicht authentifizierter Angreifer könnte dies aus der Ferne nutzen, um beliebige Befehle auf Betriebssystemebene als Systemadministrator (Root oder SYSTEM) auszuführen. Wenn der Parameter service/localconnection nicht gesetzt ist: Ein authentifizierter Angreifer mit geringen Berechtigungen könnte lokal…

Verzeichnisüberquerung im SAP NetWeaver Application Server (AS) für ABAP und Platform auf den Geschäftsbetrieb Ein authentifizierter Angreifer mit geringen Berechtigungen kann eine Schwachstelle im Zusammenhang mit der Verzeichnisüberquerung ausnutzen, um eine Datei zu überschreiben, auf die er normalerweise keinen Zugriff hat. Bei erfolgreicher Ausnutzung kann ein Angreifer die Verfügbarkeit und Integrität des Systems gefährden. Betroffene Komponenten Beschreibung SAP NetWeaver…

SAP MII – Ausführen von Remote-Code aufgrund uneingeschränkter Datei-Uploads Auswirkungen auf den Geschäftsbetrieb Ein Angreifer, der diese Sicherheitslücke erfolgreich ausnutzt, kann Betriebssystembefehle als Benutzer „adm“ ausführen Betroffene Komponenten Beschreibung Getestet auf folgenden Versionen: SAP Java 7.40 mit SAP MII 15.3 Details zur Sicherheitslücke SAP MII (Manufacturing Integration and Intelligence) verfügt über eine platform „Self Service…

Potenzielle RCE-Schwachstelle ohne Authentifizierung im FM_GPCR_OS_COMMAND-P4-Dienst Auswirkungen auf den Geschäftsbetrieb Ein nicht authentifizierter Angreifer mit Zugriff auf den P4-Port einer Java-basierten Instanz des SAP Solution Managers könnte in der Lage sein, Betriebssystembefehle auszuführen und das Zielsystem potenziell zu kompromittieren Betroffene Komponenten Beschreibung Getestet auf folgenden Versionen: Java-Kernel-Versionen: 7.50.3301.472568.20220902101413 7.50.3301.467525.20210601093523 7.50.3301.407179.20200416085516 SERVERCORE/CORE-TOOLS/J2EE-FRMW-Komponenten…

Unauthentifizierte RCE-Schwachstelle in EventLogServiceCollector – Auswirkungen auf den Geschäftsbetrieb Ein anonymer Angreifer mit Zugriff auf den P4-Port der Java-Instanz eines unter Windows laufenden Solution Managers könnte beliebige Befehle ausführen. Infolgedessen könnte ein Angreifer, obwohl er das Zielsystem vollständig kompromittieren könnte, die Netzwerkposition nutzen, um weitere Angriffe zu starten…

Auswirkungen auf den Geschäftsbetrieb Ein nicht authentifizierter Angreifer, der Zugriff auf den HTTP(s)-Port eines SAP Enterprise Portals hat, könnte bereitgestellte Anwendungen starten. Infolgedessen könnten angehaltene Anwendungen gestartet werden, was zu weiteren schwerwiegenden Folgen führen könnte. Diese Sicherheitslücke ist Teil einer größeren Familie namens P4CHAINS. Diese Gruppe von Fehlern…

Unauthentifiziertes Auslesen von Betriebssystemdateien und DoS durch Sperren des P4-Dienstes Auswirkungen auf den Geschäftsbetrieb Ein nicht authentifizierter Angreifer mit Zugriff auf den P4-Port einer Java-basierten SAP-Lösung könnte beliebige Betriebssystemdateien auslesen und/oder das System vollständig zum Stillstand bringen, indem er Anwendungssperren anfordert. Infolgedessen könnte die Verfügbarkeit des Systems vollständig…