^SAP® Security Advisories

SAP Software Update Manager (SUM) – Offenlegung von Anmeldedaten über Protokolldateien – Auswirkungen auf den Geschäftsbetrieb Ein lokaler Angreifer mit geringen Berechtigungen kann sensible Anmeldedaten, wie beispielsweise Datenbank- oder SAP-Administratorpasswörter, aus Protokolldateien abrufen. Dies hat erhebliche Auswirkungen auf die Vertraulichkeit des Systems und könnte es dem Angreifer ermöglichen, seine Berechtigungen innerhalb des…

Fehlende Berechtigungsprüfung im RFC-fähigen Funktionsbaustein RSWR_DB_DATA_DELETE – Auswirkungen auf den Geschäftsbetrieb Ein authentifizierter Angreifer könnte Daten aus der Tabelle RSWR_DATA löschen, in der Laufzeitdaten für die Benutzeranpassung und Lesezeichen im Business Explorer (BEx) gespeichert sind. Dies könnte zum Verlust benutzerspezifischer Konfigurationen und Kennzahlen sowie zu einer Verringerung der Benutzerproduktivität innerhalb des… führen.

Fehlende Berechtigungsprüfung in SAP NetWeaver – Auswirkungen auf den Geschäftsbetrieb Ein Angreifer, der sich aus der Ferne mit geringen Berechtigungen Zugang verschafft, kann alle Benutzer im aktuellen Systemmandanten auflisten. Diese Offenlegung von Informationen erleichtert das Sammeln gültiger Benutzernamen, die bei nachfolgenden Angriffen wie Brute-Force-Angriffen auf Passwörter oder Social-Engineering-Angriffen verwendet werden könnten, wodurch sich die Angriffsfläche des Systems potenziell vergrößert. Sicherheitslücke…

Auswirkungen fehlender Berechtigungen und offengelegter Informationen im SAP Business Warehouse auf den Geschäftsbetrieb Ein Angreifer kann aus der Ferne detaillierte Konfigurationsinformationen über das SAP-System und das zugrunde liegende Betriebssystem abrufen. Diese Offenlegung von Informationen könnte einem Angreifer bei der Planung weiterer Angriffe helfen, indem sie bestimmte Versionen und Konfigurationen der Zielumgebung identifiziert. Details zur Sicherheitslücke Die aus der Ferne aufrufbare Funktion…

Fehlende Autorisierung und Offenlegung von Informationen im RFC-fähigen Funktionsbaustein CMO_COLLECT_INFO_RFC_DEST – Auswirkungen auf den Geschäftsbetrieb Ein remote authentifizierter Angreifer kann detaillierte Informationen über installierte Softwarekomponenten und deren Versionen auf dem Anwendungsserver ermitteln. Diese Offenlegung von Informationen erleichtert das „Fingerprinting“ des Systems und kann möglicherweise weitere Angriffe begünstigen, indem spezifische anfällige Komponenten identifiziert werden. Dies hat geringe Auswirkungen…

Fehlende Berechtigungsprüfung in SAP ST-PI – Auswirkungen auf den Geschäftsbetrieb Ein Angreifer kann aus der Ferne sensible Informationen wie installierte Komponenten, Versionen, Patches und Benutzer-IDs vom Anwendungsserver abrufen. Diese Informationen können dazu verwendet werden, das System zu identifizieren und weitere Angriffe zu planen, was die Vertraulichkeit des Systems beeinträchtigt. Details zur Sicherheitslücke Der aus der Ferne aufrufbare Funktionsbaustein /SDF/SWCM_GET_SYSTEM_INFO…

Fehlende Autorisierungsprüfung in der RFC-fähigen Funktion /BDL/_READ_LOG – Auswirkungen auf den Geschäftsbetrieb Ein authentifizierter Angreifer kann aus der Ferne Protokollmeldungen und bestimmte Felder, wie z. B. Benutzernamen, vom Anwendungsserver auslesen. Dies hat geringe Auswirkungen auf die Vertraulichkeit des Systems und seiner Geschäftsanwendungen. Details zur Sicherheitslücke Der aus der Ferne aufrufbare Funktionsbaustein /BDL/_READ_LOG ermöglicht es authentifizierten Benutzern, …

Fehlende Autorisierungsprüfung und Offenlegung von Informationen in der RFC-fähigen Funktion AGS_SMT_TSAT_READ_SW_INFO Auswirkungen auf den Geschäftsbetrieb Ein Angreifer kann aus der Ferne eine Liste der installierten Softwarekomponenten und deren Versionen vom betroffenen System abrufen. Diese Offenlegung von Informationen könnte einem Angreifer dabei helfen, bestimmte Komponentenversionen zu identifizieren, auf die er bei weiteren Angriffen abzielen könnte, was möglicherweise das Risiko eines erfolgreichen… erhöht.

SAP SRM – XSS in der SRM-Live-Auktion: Auswirkungen auf das Geschäft Ein erfolgreicher Cross-Site-Scripting-Angriff (XSS) könnte es einem nicht authentifizierten Angreifer ermöglichen, Benutzersitzungen zu kapern oder Opfer dazu zu zwingen, unbeabsichtigte Aktionen innerhalb des SAP-SRM-Systems auszuführen. Dies kann zu unbefugtem Zugriff und einer möglichen Manipulation von Geschäftsdaten führen, was die Vertraulichkeit und Integrität beeinträchtigt…