Sicherheitslücke, die einen Denial-of-Service-Angriff ermöglicht, in SAP SolMan

Auswirkungen auf die Wirtschaft

Jeder authentifizierte Benutzer des Solution Managers kann entweder einen Denial-of-Service-Angriff ausführen oder sensible Informationen von jedem SMD-Agenten abrufen, der mit dem betroffenen SolMan verbunden ist.

Betroffene Komponenten – Beschreibung

SAP SolMan 7.2 führt eine Reihe von Webservices ein, die auf dem SAP Java NetWeaver-Stack laufen. In den betroffenen Versionen ist ein anfälliger Webservice verfügbar. Betroffene Komponenten:

• Solman 7.20
• Solman Java Stack NW 7.5
• LM-SERVICE: 1000.7.20.9.14.20200731160700

(Ausführliche Informationen zu den betroffenen Releases finden Sie im SAP-Hinweis Nr. 2983204)

Details zur Sicherheitslücke

Das Hauptziel der EEM-App (End-User Enterprise Monitoring) besteht darin, Skripte hochzuladen, die Benutzeraktionen nachahmen, um verschiedene Arten von Tests automatisch durchführen zu können. Um die genannten Skripte zu entwickeln und hochzuladen, muss eine proprietäre Sprache verwendet werden. Das Fehlen einer Sanitisierung in einer bestimmten Funktion dieser proprietären Sprache ermöglicht es einem böswilligen Benutzer, Path-Traversal-Angriffe durchzuführen. Da diese Skripte von den EEM-Robotern (standardmäßig SMD-Agenten) ausgeführt werden, könnte der Angreifer Dateien mit sensiblen Informationen aus den SMD-Agenten exfiltrieren. Darüber hinaus könnten Angriffe, die die Verfügbarkeit einiger Dienste der SMD-Agenten beeinträchtigen, durch Ausnutzung derselben Schwachstelle durchgeführt werden.

Lösung

SAP hat den SAP-Hinweis Nr. 2983204 veröffentlicht, der gepatchte Versionen der betroffenen Komponenten enthält. Die Patches können heruntergeladen werden unter https://launchpad.support.sap.com/#/notes/2983204. Onapsis empfiehlt SAP-Kunden dringend, die entsprechenden Sicherheitspatches herunterzuladen und auf die betroffenen Komponenten anzuwenden, um Geschäftsrisiken zu minimieren.

Zeitachse des Berichts

• 05.10.2020 – Onapsis übermittelt Daten an SAP
• 05.10.2020 – SAP stellt eine Sendungsverfolgungsnummer zur Verfügung.
• 12.10.2020 – SAP gibt ein Update bekannt: „Behebung in Arbeit“
• 09.11.2020 – SAP gibt einen aktuellen Stand bekannt: „In Bearbeitung“
• 30.11.2020 – SAP schlägt vor, die ursprüngliche Meldung in zwei separate Sicherheitslücken aufzuteilen.
• 02.12.2020 – Onapsis stimmt einer Aufteilung des Antrags zu.
• 08.12.2020 – SAP veröffentlicht einen Hinweis.

---

QUELLENANGABEN

• Onapsis-Blogbeitrag: https://onapsis.com/blog/sap-security-notes-december-2020
• CVE Mitre: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-26837
• Hersteller-Patch: https://launchpad.support.sap.com/#/notes/2983204.