Security Advisories zu^SAP®und^Oracle®

IS-OIL – OS-Befehlsinjektion in FM OIB_QCI_SERVER Auswirkungen auf den Geschäftsbetrieb Ein erfolgreicher Angriff könnte es einem Angreifer ermöglichen, als SAP-Systemadministrator (sidadm) blinde Betriebssystembefehle auszuführen. Dies führt zu einer vollständigen Kompromittierung des SAP-NetWeaver-Systems. Details zur Sicherheitslücke In FM OIB_QCI_SERVER, das im OIB_QCI-Paket enthalten ist und von IS-OIL bereitgestellt wird, besteht eine Sicherheitslücke durch OS-Befehlsinjektion…

Sicherheitslücke durch Speicherbeschädigung in SAP CommonCryptoLib Auswirkungen auf den Geschäftsbetrieb Ein manipuliertes Datenpaket mit einer beschädigten SNC-NAME-ASN.1-Struktur kann zu einem Parser-Fehler und einem Absturz der Anwendung führen. Details zur Sicherheitslücke In der Bibliothek „libsapcrypto.so“ besteht eine Sicherheitslücke durch Speicherbeschädigung bei der Funktion „sec1_gss_import_name()“. Die Funktion vertraut dem übergebenen Größenparameter für eine bestimmte Option….

SAP NetWeaver Java – Auswirkungen der Log-Viewer-Injektion auf den Geschäftsbetrieb Ein nicht authentifizierter Angreifer kann das Anmeldeformular nutzen, um zusätzliche Dateneinträge im SAP Log Viewer zu erstellen, was zu unvorhersehbaren Aktionen führen, die Protokollanalyse erschweren und den Betrieb einiger automatisierter Protokollanalyse-Tools beeinträchtigen kann. Details zur Sicherheitslücke Es ist möglich, „NewLine“-Zeichen in … einzuschleusen

SAP Portal – Authentifizierte XXE-Schwachstelle im SystemFromParConverter Auswirkungen auf den Geschäftsbetrieb Erfolgreiche Angriffe beeinträchtigen die Vertraulichkeit des SAP Portals. Details zur Schwachstelle Der Webservice „com.sap.portal.ivs.systemlandscapeservice.SystemFromParConverter“ im SAP Portal löst externe Entitäten während der Analyse der PAR-Datei auf. Angreifer könnten HTTP-Anfragen oder Dateizugriffe durch neue Entitäten referenzieren, wodurch der Parser das Ergebnis lädt…

SAPStartSrv – Pufferüberlauf bei der Vorabauthentifizierung Auswirkungen auf den Geschäftsbetrieb Wenn der Parameter service/localconnection = compat ist: Ein nicht authentifizierter Angreifer könnte dies aus der Ferne ausnutzen, um beliebige Befehle auf Betriebssystemebene als NT-System- oder Root-Benutzer auszuführen. Wenn der Parameter service/localconnection nicht gesetzt ist: Ein authentifizierter Angreifer mit geringen Berechtigungen könnte dies lokal ausnutzen, um beliebige…

SAPStartSrv – Einfügen von Betriebssystembefehlen vor der Authentifizierung als Root oder System Auswirkungen auf den Geschäftsbetrieb Wenn der Parameter service/localconnection = compat ist: Ein nicht authentifizierter Angreifer könnte dies aus der Ferne nutzen, um beliebige Befehle auf Betriebssystemebene als Systemadministrator (Root oder SYSTEM) auszuführen. Wenn der Parameter service/localconnection nicht gesetzt ist: Ein authentifizierter Angreifer mit geringen Berechtigungen könnte lokal…

Cross-Site-Scripting-Sicherheitslücke (XSS) in SAP NetWeaver AS ABAP Auswirkungen auf den Geschäftsbetrieb Die Auswirkungen hängen von den Berechtigungen des Opfers ab. Im schlimmsten Fall ermöglicht ein erfolgreicher Angriff es einem Angreifer, eine Sitzung zu kapern oder das Opfer dazu zu zwingen, unerwünschte Anfragen im SAP-System auszuführen. Betroffene Komponenten Beschreibung Der SAP Host Agent kann verschiedene Aufgaben im Lebenszyklus ausführen…

SAP Host Agent – SAPOscol-Namensraum – Fehlende Authentifizierung Auswirkungen auf den Geschäftsbetrieb Erfolgreiche Angriffe führen zur Offenlegung von Informationen und erweitern den Handlungsspielraum des Angreifers. Betroffene Komponenten Beschreibung Der SAP Host Agent kann verschiedene Aufgaben im Lebenszyklus ausführen, wie z. B.: Betriebssystemüberwachung, Datenbanküberwachung, control Systeminstanzen control Vorbereitung von Upgrades. Wird automatisch installiert während…

SAP NetWeaver ABAP – EPS_OPEN_INPUT_FILE: Path Traversal – Auswirkungen auf den Geschäftsbetrieb Ein Angreifer mit weitreichenden Berechtigungen kann eine remote zugängliche Funktion nutzen, um eine Datei zu lesen, auf die der Zugriff ansonsten eingeschränkt ist. Bei erfolgreicher Ausnutzung kann ein Angreifer die Vertraulichkeit der Anwendung vollständig untergraben. Betroffene Komponenten Beschreibung Der SAP NetWeaver Application Server für ABAP bietet sowohl die…