Fest codierte Anmeldedaten in CA Introscope Enterprise Manager

14. Juni 2021

Auswirkungen auf die Wirtschaft

Nicht authentifizierte Angreifer können die Authentifizierung umgehen, wenn die Standardpasswörter für die Benutzer „Admin“ und „Guest“ vom Administrator nicht geändert wurden. Dies kann die Vertraulichkeit des Dienstes beeinträchtigen.

Betroffene Komponenten – Beschreibung

CA Introscope Enterprise Manager ist Teil von CA APM Introscope(R), einer Lösung für das Application Performance Management zur Verwaltung der Leistung von Java-Anwendungen. Mit der „Right to View“-Version (RTV) von CA APM Introscope liefert SAP eine schreibgeschützte Version des Vollprodukts aus, die im Lieferumfang des SAP Solution Manager (SolMan) enthalten ist. Diese Version unterstützt nur Produkte, die von SAP lizenziert und unterstützt werden. CA APM Introscope ist in die SolMan-Infrastruktur integriert. Während die CA Introscope Enterprise Manager direkt mit SolMan verbunden sind, laufen die Introscope-Host-Adapter (auch als Wily-Host-Agenten bekannt) innerhalb der SolMan-Diagnostik-Agenten (SMD-Agenten), die auf jedem von SolMan überwachten SAP-Host installiert sind. Betroffene Komponenten:
  • Wily Introscope Enterprise 9.7
  • Wily Introscope Enterprise 10.1
  • Wily Introscope Enterprise 10.5
  • Wily Introscope Enterprise 10.7
(Ausführliche Informationen zu den betroffenen Releases finden Sie im SAP-Hinweis 2971638)

Details zur Sicherheitslücke

Diese Sicherheitslücke besteht, wenn die Standardpasswörter für die vordefinierten Benutzer „Admin“ und „Guest“ nicht geändert wurden (was vom Installationsassistenten nicht erzwungen wird).

Lösung

SAP hat den SAP-Hinweis 2971638 veröffentlicht, der gepatchte Versionen der betroffenen Komponenten enthält. Die Patches können heruntergeladen werden unter https://service.sap.com/sap/support/notes/2971638 Onapsis empfiehlt SAP-Kunden dringend, die entsprechenden Sicherheitspatches herunterzuladen und auf die betroffenen Komponenten anzuwenden, um Geschäftsrisiken zu minimieren.

Zeitachse des Berichts

  • 25.08.2020: Onapsis übermittelt Daten an SAP
  • 25.08.2020: SAP stellt SR-ID bereit
  • 28.08.2020: SAP bestätigt die Sicherheitslücke
  • 09.09.2020: SAP gibt ein Update heraus: „Behebung in Arbeit“
  • 13.10.2020: SAP veröffentlicht einen SAP-Hinweis, der das Problem behebt.
  • Die Sicherheitslücke wurde nun geschlossen
QUELLENANGABEN

Hinweise

  • Veröffentlichungsdatum: 14.06.2021
  • Sicherheitshinweis-ID: ONAPSIS-2021-0009
  • ID der gemeldeten Sicherheitslücke: 845
  • Forscher: Yvan Genuer

Informationen zur Sicherheitslücke

  • Anbieter: SAP
  • Schwachstellenklasse: |LS|CWE-798|RS| Verwendung fest codierter Anmeldedaten
  • CVSS v3-Wert: 7,5 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
  • Schweregrad: Hoch
  • CVE: CVE-2020-6369
  • Informationen zum Hersteller-Patch: SAP-Sicherheitshinweis 2971638
ÜBER UNSERE FORSCHUNGSLABORE Onapsis Research Labs bietet eine Branchenanalyse der wichtigsten Sicherheitsprobleme, die sich auf geschäftskritische Systeme und Anwendungen auswirken. Onapsis Research Labs veröffentlichen regelmäßig aktuelle Sicherheits- und Compliance-Hinweise mit entsprechenden Risikoeinstufungen und Onapsis Research Labs fundiertes Fachwissen und Erfahrung, um der breiteren Informationssicherheits-Community technische und geschäftliche Einblicke mit fundierten Sicherheitsbeurteilungen zu liefern. Alle gemeldeten Sicherheitslücken finden Sie unter https://github.com/Onapsis/vulnerability_advisories Dieser Hinweis unterliegt einer Creative Commons 4.0 BY-ND International-Lizenz
Zurück zu den Hinweisen

Weiterführende Literatur

Hinweis

SAP BEx – Denial-of-Service-Angriffe und willkürliche Änderung/Löschung von Favoriten

SAP BEx – Denial-of-Service und willkürliche Änderung/Löschung von Favoriten – Auswirkungen auf den Geschäftsbetrieb Ein authentifizierter Angreifer kann einen Denial-of-Service-Zustand für andere Benutzer herbeiführen und diese daran hindern, über das SAP GUI auf das System zuzugreifen. Darüber hinaus kann der Angreifer benutzerspezifische Favoritenknoten ändern oder löschen, was zu Betriebsstörungen und dem Verlust von Komfortfunktionen für die betroffenen…

Weiterlesen
Hinweis

Denial-of-Service-Angriffe und willkürliche Änderung/Löschung von Favoriten

Auswirkungen von Denial-of-Service-Angriffen und der willkürlichen Änderung bzw. Löschung von Favoriten auf den Geschäftsbetrieb Ein authentifizierter Angreifer kann einen Denial-of-Service-Zustand für andere Benutzer herbeiführen und diese daran hindern, über das SAP GUI auf das System zuzugreifen. Darüber hinaus kann der Angreifer benutzerspezifische Favoritenknoten ändern oder löschen, was zu Betriebsstörungen und dem Verlust von Komfortfunktionen für die betroffenen Geschäftsanwender führt….

Weiterlesen
Hinweis

Offene Weiterleitung im SAP HANA XSA UAA-Server

Auswirkungen der „Open Redirect“-Sicherheitslücke im SAP HANA XSA UAA Server auf den Geschäftsbetrieb Die „Open Redirect“-Sicherheitslücke ermöglicht es Angreifern, Benutzer auf beliebige Websites umzuleiten und Phishing-Angriffe durchzuführen. Die Phisher können dann die Anmeldedaten der Opfer oder andere wichtige Daten stehlen, die in weiteren Angriffsketten genutzt werden können. Dies hat begrenzte Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der…

Weiterlesen