Security Advisories zu^SAP®und^Oracle®

Willkürliche Ausführung von RFC-Funktionen über BBP_PDH_PO_RESUBMIT Auswirkungen auf den Geschäftsbetrieb Diese Sicherheitslücke ermöglicht es einem Angreifer, jede im System vorhandene Funktion auszuführen. Wenn es also beispielsweise eine Funktion gibt, mit der Dateien gelöscht oder überschrieben oder Betriebssystembefehle ausgeführt werden können, könnte dies zu einer Beeinträchtigung des Geschäftsbetriebs bis hin zu einem Denial-of-Service-Angriff führen. Details zur Sicherheitslücke…

Fehlende Berechtigungsprüfung in SAP ERP Defence Forces and Public Security – Auswirkungen auf den Geschäftsbetrieb Ein erfolgreicher Angriff kann zur Ermittlung der Zuordnung zwischen Lagerort und Lagernummer führen. Details zur Sicherheitslücke Die Funktionsgruppe /ISDFPS/ISDFPS/WM_LES im Paket /ISDFPS/MM implementiert einen remote-fähigen Funktionsbaustein namens /ISDFPS/GET_LGNUM_RFC, der keine Berechtigungsprüfung durchführt. Jeder Benutzer mit ausreichenden…

Sicherheitslücke in SAP NetWeaver – WSRM: Auswirkungen auf den Geschäftsbetrieb Erfolgreiche Angriffe führen zur Offenlegung von Informationen und erweitern zudem den Zugriffsbereich und die Erkenntnisse des Angreifers. Details zur Sicherheitslücke Das Servlet „tc~esi~esp~wsrm~itsam~jmx“ in SAP XI/PI/PO ermöglicht es nicht authentifizierten Angreifern, detaillierte Informationen über das Zielbetriebssystem, die SID und den Hostnamen zu erlangen. Lösung SAP hat den SAP-Hinweis … veröffentlicht

Sicherheitslücke durch Offenlegung von Informationen in SAP NetWeaver Process Integration – Support-Webseiten Auswirkungen auf den Geschäftsbetrieb Erfolgreiche Angriffe führen zur Offenlegung von Informationen und erweitern zudem den Zugriffsbereich und die Erkenntnisse des Angreifers. Details zur Sicherheitslücke Die Anwendung „com.sap.xi.repository“ in SAP XI/PI/PO ermöglicht es nicht authentifizierten Angreifern, detaillierte Informationen über die Zielversionen zu sammeln. Lösung SAP hat SAP…

SAP NetWeaver Java – Auswirkungen der Log-Viewer-Injektion auf den Geschäftsbetrieb Ein nicht authentifizierter Angreifer kann das Anmeldeformular nutzen, um zusätzliche Dateneinträge im SAP Log Viewer zu erstellen, was zu unvorhersehbaren Aktionen führen, die Protokollanalyse erschweren und den Betrieb einiger automatisierter Protokollanalyse-Tools beeinträchtigen kann. Details zur Sicherheitslücke Es ist möglich, „NewLine“-Zeichen in … einzuschleusen

SAP Portal – Authentifizierte XXE-Schwachstelle im SystemFromParConverter Auswirkungen auf den Geschäftsbetrieb Erfolgreiche Angriffe beeinträchtigen die Vertraulichkeit des SAP Portals. Details zur Schwachstelle Der Webservice „com.sap.portal.ivs.systemlandscapeservice.SystemFromParConverter“ im SAP Portal löst externe Entitäten während der Analyse der PAR-Datei auf. Angreifer könnten HTTP-Anfragen oder Dateizugriffe durch neue Entitäten referenzieren, wodurch der Parser das Ergebnis lädt…

Cross-Site-Scripting-Sicherheitslücke (XSS) in SAP NetWeaver AS ABAP Auswirkungen auf den Geschäftsbetrieb Die Auswirkungen hängen von den Berechtigungen des Opfers ab. Im schlimmsten Fall ermöglicht ein erfolgreicher Angriff es einem Angreifer, eine Sitzung zu kapern oder das Opfer dazu zu zwingen, unerwünschte Anfragen im SAP-System auszuführen. Betroffene Komponenten Beschreibung Der SAP Host Agent kann verschiedene Aufgaben im Lebenszyklus ausführen…

SAP NetWeaver ABAP – EPS_OPEN_INPUT_FILE: Path Traversal – Auswirkungen auf den Geschäftsbetrieb Ein Angreifer mit weitreichenden Berechtigungen kann eine remote zugängliche Funktion nutzen, um eine Datei zu lesen, auf die der Zugriff ansonsten eingeschränkt ist. Bei erfolgreicher Ausnutzung kann ein Angreifer die Vertraulichkeit der Anwendung vollständig untergraben. Betroffene Komponenten Beschreibung Der SAP NetWeaver Application Server für ABAP bietet sowohl die…

SAP EA-DFPS – Auswirkungen von Syslog-Verschmutzung auf den Geschäftsbetrieb Durch die Verschmutzung der Hauptprotokollierung des SAP-Systems könnte ein Angreifer unter anderem: böswillige Aktivitäten verbergen; das Syslog dazu bringen, seine Kapazitätsgrenze zu erreichen, woraufhin es sich selbst überschreibt, um Aktivitäten zu löschen; falsche Warnmeldungen hinzufügen, um Ablenkung zu erzeugen. Betroffene Komponenten Beschreibung Von der offiziellen SAP-Website. Aufgrund der spezifischen…