^SAP® Security Advisories

SAP NetWeaver Java – Auswirkungen der Log-Viewer-Injektion auf den Geschäftsbetrieb Ein nicht authentifizierter Angreifer kann das Anmeldeformular nutzen, um zusätzliche Dateneinträge im SAP Log Viewer zu erstellen, was zu unvorhersehbaren Aktionen führen, die Protokollanalyse erschweren und den Betrieb einiger automatisierter Protokollanalyse-Tools beeinträchtigen kann. Details zur Sicherheitslücke Es ist möglich, „NewLine“-Zeichen in … einzuschleusen

SAP Portal – Authentifizierte XXE-Schwachstelle im SystemFromParConverter Auswirkungen auf den Geschäftsbetrieb Erfolgreiche Angriffe beeinträchtigen die Vertraulichkeit des SAP Portals. Details zur Schwachstelle Der Webservice „com.sap.portal.ivs.systemlandscapeservice.SystemFromParConverter“ im SAP Portal löst externe Entitäten während der Analyse der PAR-Datei auf. Angreifer könnten HTTP-Anfragen oder Dateizugriffe durch neue Entitäten referenzieren, wodurch der Parser das Ergebnis lädt…

Cross-Site-Scripting-Sicherheitslücke (XSS) in SAP NetWeaver AS ABAP Auswirkungen auf den Geschäftsbetrieb Die Auswirkungen hängen von den Berechtigungen des Opfers ab. Im schlimmsten Fall ermöglicht ein erfolgreicher Angriff es einem Angreifer, eine Sitzung zu kapern oder das Opfer dazu zu zwingen, unerwünschte Anfragen im SAP-System auszuführen. Betroffene Komponenten Beschreibung Der SAP Host Agent kann verschiedene Aufgaben im Lebenszyklus ausführen…

SAP NetWeaver ABAP – EPS_OPEN_INPUT_FILE: Path Traversal – Auswirkungen auf den Geschäftsbetrieb Ein Angreifer mit weitreichenden Berechtigungen kann eine remote zugängliche Funktion nutzen, um eine Datei zu lesen, auf die der Zugriff ansonsten eingeschränkt ist. Bei erfolgreicher Ausnutzung kann ein Angreifer die Vertraulichkeit der Anwendung vollständig untergraben. Betroffene Komponenten Beschreibung Der SAP NetWeaver Application Server für ABAP bietet sowohl die…

SAP EA-DFPS – Auswirkungen von Syslog-Verschmutzung auf den Geschäftsbetrieb Durch die Verschmutzung der Hauptprotokollierung des SAP-Systems könnte ein Angreifer unter anderem: böswillige Aktivitäten verbergen; das Syslog dazu bringen, seine Kapazitätsgrenze zu erreichen, woraufhin es sich selbst überschreibt, um Aktivitäten zu löschen; falsche Warnmeldungen hinzufügen, um Ablenkung zu erzeugen. Betroffene Komponenten Beschreibung Von der offiziellen SAP-Website. Aufgrund der spezifischen…

Cross-Site-Scripting-Sicherheitslücke (XSS) im SAP NetWeaver Application Server ABAP Auswirkungen auf den Geschäftsbetrieb Die Auswirkungen hängen von den Berechtigungen des Opfers ab. In den meisten Fällen ermöglicht ein erfolgreicher Angriff es einem Angreifer, eine Sitzung zu kapern oder das Opfer dazu zu zwingen, eine unerwünschte Anfrage in SAP NetWeaver ABAP auszuführen. Betroffene Komponenten Beschreibung Der SAP NetWeaver Application Server für ABAP bietet…

SAP Host Agent – sapstartsrv – Unerlaubter Speicherzugriff in MsIGetProfileValue Auswirkungen auf den Geschäftsbetrieb Aus der Ferne ausnutzbar, ohne Authentifizierung; ein Angreifer könnte einen Denial-of-Service-Angriff auf alle sapstartsrv-Dienste durchführen. Dies führt zu direkten Auswirkungen auf die Verfügbarkeit dieses Dienstes und zu erheblichen Verfügbarkeitsproblemen für das SAP-System. Betroffene Komponenten Beschreibung Der SAP Host Agent kann verschiedene Aufgaben im Lebenszyklus ausführen…

Server-Side Request Forgery in SAP NetWeaver, Platform dem SAP Host Agent – Auswirkungen auf den Geschäftsbetrieb Ein erfolgreicher Angriff kann dazu führen, dass Informationen über interne offene SAP-Ports offengelegt werden, die normalerweise nicht erreichbar sind. Betroffene Komponenten Beschreibung Der SAP NetWeaver Application Server für ABAP stellt sowohl die Laufzeitumgebung als auch die Entwicklungsumgebung für alle ABAP-Programme bereit. Der…

SAP Host Agent – Offenlegung von Anmeldedaten über Protokolldateien – Auswirkungen auf den Geschäftsbetrieb Durch Ausnutzung dieser Sicherheitslücke kann ein böswilliger Benutzer mit geringen Berechtigungen SDA-Anmeldedaten (sapadm) sowie einige technische SAP-NetWeaver-Anmeldedaten (wie FRN_DPC_SID oder FRN_CSA_SID) abrufen und diese anschließend verwenden, um sich bei SAP NetWeaver oder im SDA anzumelden und böswillige oder sensible…