SAP NetWeaver ABAP – EPS_OPEN_INPUT_FILE: Pfadtraversierung

18. Juli 2025

SAP NetWeaver ABAP – EPS_OPEN_INPUT_FILE: Pfadtraversierung

Auswirkungen auf die Wirtschaft

Ein Angreifer mit weitreichenden Berechtigungen kann eine remote zugängliche Funktion nutzen, um eine Datei auszulesen, auf die der Zugriff ansonsten eingeschränkt ist. Bei erfolgreicher Ausnutzung dieser Schwachstelle kann ein Angreifer die Vertraulichkeit der Anwendung vollständig untergraben.

Betroffene Komponenten – Beschreibung

Der SAP NetWeaver Application Server für ABAP bietet sowohl die Laufzeitumgebung als auch die Entwicklungsumgebung für alle ABAP-Programme.

Details zur Sicherheitslücke

Im Funktionsbaustein EPS_OPEN_INPUT_FILE kommt es zu einer Pfaddurchquerung. Es wird eine Überprüfung der Importvariablen FILE_NAME durchgeführt, nicht jedoch der Importvariablen DIR_NAME. Es ist möglich, die Prüfungen „check_trans_read_authority“ und „check_ftp_authority“ zu umgehen, indem man dem DIR_NAME einen bestimmten Wert voranstellt, um das Programm dazu zu bringen, anzunehmen, dass die Anfragen von der SAP-Transport-API stammen.

Lösung

SAP hat den SAP-Hinweis 3256571 veröffentlicht, der gepatchte Versionen der betroffenen Komponenten enthält. Die Patches können heruntergeladen werden unter https://launchpad.support.sap.com/#/notes/3256571. Onapsis empfiehlt SAP-Kunden dringend, die entsprechenden Sicherheitspatches herunterzuladen und auf die betroffenen Komponenten anzuwenden, um Geschäftsrisiken zu minimieren.

Zeitachse des Berichts

  • 02.08.2022: Onapsis übermittelt Daten an SAP
  • 08.11.2022: SAP veröffentlicht einen SAP-Hinweis, der das Problem behebt.

Literaturverzeichnis

Zurück zu den Hinweisen

Hinweise

  • Veröffentlichungsdatum: 18.07.25
  • Sicherheitshinweis-ID: ONAPSIS-2024-0013
  • Forscher: Yvan Genuer

Informationen zur Sicherheitslücke

  • Anbieter: SAP
  • Betroffene Komponenten:
    • SAP NetWeaver Application Server ABAP und ABAP Platform
    • SAP_BASIS 700 Patch 41 und früher
    • SAP_BASIS 701 Patch 25 und niedriger
    • SAP_BASIS 702 Patch 25 und früher
    • SAP_BASIS 731 Patch 32 und früher
    • SAP_BASIS 740 Patch 29 und niedriger
    • SAP_BASIS 750 Patch 26 und früher
    • SAP_BASIS 751 Patch 16 und früher
    • SAP_BASIS 752 Patch 12 und früher
    • SAP_BASIS 753 Patch 10 und früher
    • SAP_BASIS 754 Patch 08 und früher
    • SAP_BASIS 755 Patch 06 und früher
    • SAP_BASIS 756 Patch 04 und früher
    • SAP_BASIS 757 Patch 01 und früher
    • SAP_BASIS 789 Patch 08 und früher
    • SAP_BASIS 790 Patch 03 und früher
    • SAP_BASIS 804 Patch 06 und niedriger (Ausführliche Informationen zu den betroffenen Releases finden Sie im SAP-Hinweis 3256571)
  • Schwachstellenklasse: CWE-548
  • CVSS v3-Bewertung: 4,9 AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
  • Risikostufe: Mittel
  • Zugewiesene CVE-Nummer: CVE-2022-41212
  • Informationen zum Hersteller-Patch: SAP Security NOTE 3256571
ÜBER UNSERE FORSCHUNGSLABORE Onapsis Research Labs bietet eine Branchenanalyse der wichtigsten Sicherheitsprobleme, die sich auf geschäftskritische Systeme und Anwendungen auswirken. Onapsis Research Labs veröffentlichen regelmäßig aktuelle Sicherheits- und Compliance-Hinweise mit entsprechenden Risikoeinstufungen und Onapsis Research Labs fundiertes Fachwissen und langjährige Erfahrung, um der breiteren Informationssicherheits-Community technische und geschäftliche Einblicke sowie fundierte Sicherheitsbewertungen zu liefern. Alle gemeldeten Sicherheitslücken finden Sie unter: https://github.com/Onapsis/vulnerability_advisories Dieser Hinweis unterliegt einer Creative Commons 4.0 BY-ND International-Lizenz
Zurück zu den Hinweisen

Weiterführende Literatur

Hinweis

SAP BEx – Denial-of-Service-Angriffe und willkürliche Änderung/Löschung von Favoriten

SAP BEx – Denial-of-Service und willkürliche Änderung/Löschung von Favoriten – Auswirkungen auf den Geschäftsbetrieb Ein authentifizierter Angreifer kann einen Denial-of-Service-Zustand für andere Benutzer herbeiführen und diese daran hindern, über das SAP GUI auf das System zuzugreifen. Darüber hinaus kann der Angreifer benutzerspezifische Favoritenknoten ändern oder löschen, was zu Betriebsstörungen und dem Verlust von Komfortfunktionen für die betroffenen…

Weiterlesen
Hinweis

Denial-of-Service-Angriffe und willkürliche Änderung/Löschung von Favoriten

Auswirkungen von Denial-of-Service-Angriffen und der willkürlichen Änderung bzw. Löschung von Favoriten auf den Geschäftsbetrieb Ein authentifizierter Angreifer kann einen Denial-of-Service-Zustand für andere Benutzer herbeiführen und diese daran hindern, über das SAP GUI auf das System zuzugreifen. Darüber hinaus kann der Angreifer benutzerspezifische Favoritenknoten ändern oder löschen, was zu Betriebsstörungen und dem Verlust von Komfortfunktionen für die betroffenen Geschäftsanwender führt….

Weiterlesen
Hinweis

Offene Weiterleitung im SAP HANA XSA UAA-Server

Auswirkungen der „Open Redirect“-Sicherheitslücke im SAP HANA XSA UAA Server auf den Geschäftsbetrieb Die „Open Redirect“-Sicherheitslücke ermöglicht es Angreifern, Benutzer auf beliebige Websites umzuleiten und Phishing-Angriffe durchzuführen. Die Phisher können dann die Anmeldedaten der Opfer oder andere wichtige Daten stehlen, die in weiteren Angriffsketten genutzt werden können. Dies hat begrenzte Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der…

Weiterlesen