^SAP® Security Advisories

Willkürliche Ausführung von RFC-Funktionen über SDF-CCM_AGS_CC_SIM_API_LOAD Auswirkungen auf den Geschäftsbetrieb Diese Sicherheitslücke ermöglicht es einem Angreifer, jede im System vorhandene Funktion auszuführen. Wenn es also beispielsweise eine Funktion gibt, mit der Dateien gelöscht oder überschrieben oder Betriebssystembefehle ausgeführt werden können, könnte dies zu einer Dienstverweigerung führen. Details zur Sicherheitslücke…

XXE-Sicherheitslücke in SAP NetWeaver AS Java – Auswirkungen auf den Geschäftsbetrieb (Guided Procedures) Erfolgreiche Angriffe beeinträchtigen die Vertraulichkeit von SAP NetWeaver AS Java und ermöglichen zudem die Ausführung von SSRF oder das Abrufen von Dateien. Details zur Sicherheitslücke Das Servlet „caf~eu~gp~model~iforms~eap“ in SAP NetWeaver AS Java löst externe Entitäten während der Analyse der XML-Antwort des From-Prozessors auf. Angreifer…

Sicherheitslücke durch Speicherbeschädigung in SAP CommonCryptoLib Auswirkungen auf den Geschäftsbetrieb Ein manipuliertes Datenpaket mit einer beschädigten SNC-NAME-ASN.1-Struktur kann zu einem Parser-Fehler und einem Absturz der Anwendung führen. Details zur Sicherheitslücke In der Bibliothek „libsapcrypto.so“ besteht eine Sicherheitslücke durch Speicherbeschädigung bei der Funktion „sec1_gss_import_name()“. Die Funktion vertraut dem übergebenen Größenparameter für eine bestimmte Option….

Gespeichertes XSS in der Administrationsoberfläche von SAP Auswirkungen auf das Geschäft Die Auswirkungen hängen von den Berechtigungen des Opfers ab, jedoch wird der Zugriff auf den SAP Webdispatcher in der Regel Administratorbenutzern gewährt. Im schlimmsten Fall ermöglicht ein erfolgreicher Angriff es einem Angreifer, einen Administrator dazu zu zwingen, Aktionen auf dem SAP Webdispatcher auszuführen, wie beispielsweise Daten zu entwenden, Daten zu ändern oder den Webdispatcher herunterzufahren….

Willkürliche Ausführung von RFC-Funktionen über CCM_AGS_CC_SIM_API_START Auswirkungen auf den Geschäftsbetrieb Diese Sicherheitslücke ermöglicht es einem Angreifer, jede im System vorhandene Funktion auszuführen. Wenn es also beispielsweise eine Funktion gibt, mit der Dateien gelöscht oder überschrieben oder Betriebssystembefehle ausgeführt werden können, könnte dies zu einer Beeinträchtigung des Geschäftsbetriebs bis hin zu einem Denial-of-Service-Angriff führen. Betroffene Komponenten…

Verzeichnisüberquerungs-Sicherheitslücke in SAP NetWeaver (BI_CONT-Add-On) Auswirkungen auf den Geschäftsbetrieb Ein authentifizierter Angreifer mit weitreichenden Berechtigungen kann eine Verzeichnisüberquerungs-Sicherheitslücke ausnutzen, um eine Datei zu überschreiben, auf die sonst Zugriffsbeschränkungen bestehen. Bei erfolgreicher Ausnutzung kann ein Angreifer die Verfügbarkeit und Integrität des Systems gefährden. Betroffene Komponenten Beschreibung SAP NetWeaver AS für ABAP und ABAP…

MS_ACL_INFO-Umgehung unter bestimmten Bedingungen Auswirkungen auf den Geschäftsbetrieb Der Message Server ist eine zentrale Komponente jedes SAP-Systems. Wenn bestimmte Bedingungen erfüllt sind (die in einem späteren Abschnitt aufgeführt werden), funktioniert die ACL-INFO nicht mehr, sodass jeder nicht authentifizierte Angreifer neue Anwendungsserver registrieren kann (10Kblaze-Angriff). Betroffene Komponenten Beschreibung Jede Message-Server-Binärdatei zwischen SAP…

Nicht authentifiziertes Blind-SSRF in SmdSapHostAgentBridge Auswirkungen auf den Geschäftsbetrieb Ein anonymer Angreifer mit Zugriff auf den P4-Port der Java-Instanz eines Solution Managers könnte den Diagnostic Agent dazu zwingen, beliebige serverseitige Anfragen auszuführen. Infolgedessen könnte die interne Infrastruktur unter Ausnutzung der Netzwerkposition beeinträchtigt werden. Betroffene Komponenten Beschreibung Getestet auf folgenden Versionen:…

Nicht authentifiziertes Blind-SSRF in SAPGrmgClassicCollector Auswirkungen auf den Geschäftsbetrieb Ein anonymer Angreifer mit Zugriff auf den P4-Port der Java-Instanz eines Solution Managers könnte den Diagnostic Agent dazu zwingen, beliebige serverseitige Anfragen auszuführen. Infolgedessen könnte die interne Infrastruktur unter Ausnutzung der Netzwerkposition beeinträchtigt werden. Betroffene Komponenten Beschreibung Getestet auf folgenden Versionen:…