SAP Manufacturing Integration & Intelligence – Fehlende serverseitige Validierungen

14. Juni 2021

Auswirkungen auf die Wirtschaft

Durch Ausnutzen einer Code-Injection in SAP MII könnte ein authentifizierter Benutzer mit SAP-XMII-Entwicklerrechten Code (einschließlich Betriebssystembefehle) auf dem Server ausführen. Damit wäre er in der Lage, alle Aktionen auszuführen, die auch ein SAP-Administrator ausführen kann. Zu den möglichen Aktionen gehören:
  • Zugriff auf die SAP-Datenbanken sowie das Lesen, Ändern und Löschen beliebiger Datensätze in beliebigen Tabellen
  • Verwenden Sie diese Server, um zu anderen Servern zu wechseln
  • Malware platzieren, um Endnutzer später zu infizieren
  • Netzwerkkonfigurationen ändern und dadurch möglicherweise interne Netzwerke beeinträchtigen

Betroffene Komponenten – Beschreibung

SAP MII ist eine auf SAP NetWeaver AS Java basierende platform eine Echtzeit-Produktionsüberwachung ermöglicht und umfangreiche Tools zur Datenanalyse bereitstellt. Sie fungiert als Datenknotenpunkt zwischen SAP ERP und operativen Anwendungen wie Fertigungssteuerungssystemen (MES). Die Software erfasst Daten von Produktionsanlagen und liefert Echtzeit-Einblicke in deren Leistung und Effizienz. Betroffene Komponenten:
  • XMII 15.1 liegt unter SP006 PL 000062
  • XMII 15.2 liegt unter SP003 PL 000038
  • XMII 15,3 unterhalb von SP001 PL 000022
  • XMII 15,4 unterhalb von SP001 PL 000007
(Ausführliche Informationen zu den betroffenen Releases finden Sie im SAP-Hinweis Nr. 3022622)

Details zur Sicherheitslücke

Ein wesentlicher Bestandteil von SAP MII ist die Self-Service Composition Environment (SSCE), mit der Dashboards per einfachem Drag-and-Drop gestaltet werden können.  Diese Funktion zur Dashboard-Erstellung führt einige clientseitige Validierungen durch, die im Backend nicht erneut durchgeführt werden. Diese Situation könnte es einem Angreifer ermöglichen, eine bösartige Anfrage mit ausführbarem Code zu erstellen, der auf dem Server gespeichert wird. Wenn ein solches infiziertes Dashboard in der Produktionsumgebung von einem Benutzer mit minimalen Berechtigungen geöffnet wird, wird der bösartige Inhalt ausgeführt, was zu einer Remote-Code-Ausführung auf dem Server führt.

Lösung

SAP hat den SAP-Hinweis Nr. 3022622 veröffentlicht, der gepatchte Versionen der betroffenen Komponenten enthält. Die Patches können heruntergeladen werden unter https://launchpad.support.sap.com/#/notes/2983204. Onapsis empfiehlt SAP-Kunden dringend, die entsprechenden Sicherheitspatches herunterzuladen und auf die betroffenen Komponenten anzuwenden, um Geschäftsrisiken zu minimieren.

Zeitachse des Berichts

  • 02.01.2021: Onapsis übermittelt Daten an SAP
  • 02.04.2021: SAP stellt interne ID bereit
  • 08.02.2021: SAP gibt folgenden Status bekannt: „In Bearbeitung“
  • 08.03.2021: SAP veröffentlicht Update: Sicherheitslücke behoben – SAP-Sicherheitshinweis veröffentlicht: 3022622
QUELLENANGABEN

Hinweise

  • Veröffentlichungsdatum: 14.06.2021
  • Sicherheitshinweis-ID: ONAPSIS-2021-0012
  • ID der gemeldeten Sicherheitslücke: 872
  • Forscher: Nicolas Raus

Informationen zur Sicherheitslücke

  • Anbieter: SAP
  • Sicherheitslücke: |LS|CWE-94|RS| Unsachgemäße Control Codegenerierung („Code-Injection“)
  • CVSS v3-Bewertung: 9,9 (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)
  • Schweregrad: Kritisch
  • CVE: CVE-2021-21480
  • Informationen zum Hersteller-Patch: SAP-Sicherheitshinweis 3022622
ÜBER UNSERE FORSCHUNGSLABORE Onapsis Research Labs bietet eine Branchenanalyse der wichtigsten Sicherheitsprobleme, die sich auf geschäftskritische Systeme und Anwendungen auswirken. Onapsis Research Labs veröffentlichen regelmäßig aktuelle Sicherheits- und Compliance-Hinweise mit entsprechenden Risikoeinstufungen und Onapsis Research Labs fundiertes Fachwissen und Erfahrung, um der breiteren Informationssicherheits-Community technische und geschäftliche Einblicke mit fundierten Sicherheitsbeurteilungen zu liefern. Alle gemeldeten Sicherheitslücken finden Sie unter https://github.com/Onapsis/vulnerability_advisories Dieser Hinweis unterliegt einer Creative Commons 4.0 BY-ND International-Lizenz
Zurück zu den Hinweisen

Weiterführende Literatur

Hinweis

SAP BEx – Denial-of-Service-Angriffe und willkürliche Änderung/Löschung von Favoriten

SAP BEx – Denial-of-Service und willkürliche Änderung/Löschung von Favoriten – Auswirkungen auf den Geschäftsbetrieb Ein authentifizierter Angreifer kann einen Denial-of-Service-Zustand für andere Benutzer herbeiführen und diese daran hindern, über das SAP GUI auf das System zuzugreifen. Darüber hinaus kann der Angreifer benutzerspezifische Favoritenknoten ändern oder löschen, was zu Betriebsstörungen und dem Verlust von Komfortfunktionen für die betroffenen…

Weiterlesen
Hinweis

Denial-of-Service-Angriffe und willkürliche Änderung/Löschung von Favoriten

Auswirkungen von Denial-of-Service-Angriffen und der willkürlichen Änderung bzw. Löschung von Favoriten auf den Geschäftsbetrieb Ein authentifizierter Angreifer kann einen Denial-of-Service-Zustand für andere Benutzer herbeiführen und diese daran hindern, über das SAP GUI auf das System zuzugreifen. Darüber hinaus kann der Angreifer benutzerspezifische Favoritenknoten ändern oder löschen, was zu Betriebsstörungen und dem Verlust von Komfortfunktionen für die betroffenen Geschäftsanwender führt….

Weiterlesen
Hinweis

Offene Weiterleitung im SAP HANA XSA UAA-Server

Auswirkungen der „Open Redirect“-Sicherheitslücke im SAP HANA XSA UAA Server auf den Geschäftsbetrieb Die „Open Redirect“-Sicherheitslücke ermöglicht es Angreifern, Benutzer auf beliebige Websites umzuleiten und Phishing-Angriffe durchzuführen. Die Phisher können dann die Anmeldedaten der Opfer oder andere wichtige Daten stehlen, die in weiteren Angriffsketten genutzt werden können. Dies hat begrenzte Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der…

Weiterlesen