SAP Hybris eCommerce SSRF im Acceleratorservices-Modul
Auswirkungen auf das Geschäft
Das SAP Hybris Accelerator Services-Modul ist anfällig für serverseitige Anforderungsfälschung, was bedeutet, dass ein authentifizierter Angreifer POST-Anfragen an jede gültige URL durchführen kann.
Beschreibung der betroffenen Komponenten
SAP Hybris ist eine E-Commerce-Produktplattform, die für eine Produktfamilie im Bereich Kundenerfahrung und -management verwendet wird.
Die Acceleratorservices-Erweiterung stellt ein Zahlungs-Gateway-Mock bereit, das in den Accelerator-Storefront-Checkout-Prozess integriert werden kann.
Betroffene Komponenten:
- SAP Hybris eCommerce 1808
- SAP Hybris eCommerce 1811
- SAP Hybris eCommerce 1905
- SAP Hybris eCommerce 2005
(Detaillierte Informationen zu betroffenen Releases finden Sie im SAP-Hinweis 2975170.)
Sicherheitslücken Details
In den SAP Hybris Acceleratorservices gibt es eine serverseitige Anforderungsfälschung ohne Authentifizierung. Dies bedeutet, dass jeder, der auf diese Erweiterung zugreift, sie verwenden kann, um beliebige HTTP-Anfragen zu stellen und dabei Netzwerkbeschränkungen zu umgehen.
Dasselbe Problem kann dazu genutzt werden, eine selbstreferenzierte Anfrage zu stellen, die eine Endlosschleife durchläuft, alle Speicherressourcen verbraucht und den Dienst bis zum Neustart sperrt (Denial of Service).
Lösung
SAP hat den SAP-Hinweis 2975170 veröffentlicht, der gepatchte Versionen der betroffenen Komponenten bereitstellt.
Die Patches können heruntergeladen werden unter https://launchpad.support.sap.com/#/notes/2975170
Onapsis empfiehlt SAP-Kunden dringend, die entsprechenden Sicherheitsfixes herunterzuladen und auf die betroffenen Komponenten anzuwenden, um Geschäftsrisiken zu reduzieren.
Report Timeline
- 08: Onapsis stellt SAP Details zur Verfügung
- 08: SAP stellt SR-ID bereit
- 09: SAP stellt Update bereit: „Sicherheitslücke ist in Bearbeitung“
- 10: SAP stellt Update bereit: „Fix in Bearbeitung“
- 11: SAP veröffentlicht SAP-Hinweise zur Behebung des Problems. Die Sicherheitslücke ist jetzt geschlossen
REFERENZEN
- Onapsis-Blogbeitrag:
https://onapsis.com/blog/sap-security-notes-november-2020 - CVE-Gehrung:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-26811 - Hersteller-Patch:
https://launchpad.support.sap.com/#/notes/2975170
Beratungsinformationen
- Datum der Veröffentlichung: 06
- Security Advisory ID: ONAPSIS-2021-0007
- ID der Schwachstelleneinreichung: 843
- Forscher: Gaston Traberg
Informationen zur Sicherheitslücke
- Anbieter: SAP
- Schwachstellenklasse: |LS|CWE-200|RS| Offenlegung sensibler Informationen gegenüber einem unbefugten Akteur
- CVSS v3-Score: 7.5 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
- Schweregrad: Hoch
- CVE: CVE-2020-26809
- Informationen zum Hersteller-Patch: SAP-Sicherheitshinweis 2975189
ÜBER UNSER RESEARCH LABS
Onapsis Research Labs bietet eine Branchenanalyse wichtiger Sicherheitsprobleme, die sich auf geschäftskritische Systeme und Anwendungen auswirken.
Bereitstellung regelmäßiger und zeitnaher Sicherheits- und Compliance-Hinweise mit zugehörigen Risikostufen, Onapsis Research Labs bündeln fundiertes Wissen
und Erfahrung, um der breiteren Informationssicherheitsgemeinschaft technische und geschäftliche Zusammenhänge mit fundiertem Sicherheitsurteil zu vermitteln.
Finde alles reported Schwachstellen bei https://github.com/Onapsis/vulnerability_advisories
Diese Beratung ist lizenziert unter a Creative Commons 4.0 BY-ND Internationale Lizenz
