Nicht authentifizierte RCE-Schwachstelle in EventLogServiceCollector
13. August 2024
Nicht authentifizierte RCE-Schwachstelle in EventLogServiceCollector
Auswirkungen auf die Wirtschaft
Ein anonymer Angreifer, der Zugriff auf den P4-Port der Java-Instanz eines unter Windows laufenden Solution Managers hat, könnte beliebige Befehle ausführen. Infolgedessen könnte ein Angreifer – obwohl er das Zielsystem vollständig kompromittieren könnte – seine Netzwerkposition nutzen, um sich innerhalb der internen Infrastruktur weiter vorzuarbeiten.Betroffene Komponenten – Beschreibung
Java-Kernel-Versionen:- 7.50.3301.472568.20220902101413
- 7.50.3301.467525.20210601093523
- 7.50.3301.407179.20200416085516
- 1000.7.50.24.7.20221009183400
- 1000.7.50.22.0.20210804111800
- 1000.7.50.2.0.20160125191600
- SMDAgent 7.20.11.5.20201030041628
- SMDAgent 7.20.13.0.20210728040558
Details zur Sicherheitslücke
Auf den SAP SMD Collector Simulator-Dienst kann über P4 ohne vorherige Authentifizierung zugegriffen werden. Mithilfe des Collectors „EventLogServiceCollector“ kann ein Angreifer beliebige Betriebssystembefehle auf dem Host des Diagnostic Agent ausführen. Diese Sicherheitslücke betraf ausschließlich Windows-basierte Systeme.Lösung
SAP hat den SAP-Hinweis 3305369 veröffentlicht, der gepatchte Versionen der betroffenen Komponenten enthält. Die Patches können heruntergeladen werden unter https://me.sap.com/notes/3305369. Onapsis empfiehlt SAP-Kunden dringend, die entsprechenden Sicherheitspatches herunterzuladen und auf die betroffenen Komponenten anzuwenden, um Geschäftsrisiken zu minimieren.Zeitachse des Berichts
- 28.10.2022: Onapsis meldet SAP eine Sicherheitslücke
- 29.10.2022: SAP nimmt den Bericht zur Kenntnis
- 11.04.2023: SAP veröffentlicht den Patch.
Literaturverzeichnis
- Onapsis-Blogbeitrag: https://onapsis.com/blog/sap-patch-day-april-2023/
- CVE Mitre: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-27497
- Hersteller-Patch: https://me.sap.com/notes/3305369
Hinweise
- Veröffentlichungsdatum: 13.08.2024
- Sicherheitshinweis-ID: ONAPSIS-2024-0003
- Forscher: Pablo Artuso und Yvan Genuer
Informationen zur Sicherheitslücke
-
- Anbieter: SAP
- Betroffene Komponenten:
- SAP Java NetWeaver Version 7.50
- SAP Solution Manager DA 7.20
- Sicherheitslückenklasse:
- CWE-78: Unsachgemäße Neutralisierung spezieller Elemente in einem OS-Befehl
- CWE-306: Fehlende Authentifizierung für kritische Funktion
- CVSS v3-Bewertung: 10 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)
- Risikostufe: Kritisch
- Zugewiesene CVE-Nummer: CVE-2023-27497
- Informationen zum Hersteller-Patch: SAP Security NOTE 3305369
ÜBER UNSERE FORSCHUNGSLABORE Onapsis Research Labs bietet eine Branchenanalyse der wichtigsten Sicherheitsprobleme, die sich auf geschäftskritische Systeme und Anwendungen auswirken. Onapsis Research Labs veröffentlichen regelmäßig aktuelle Sicherheits- und Compliance-Hinweise mit entsprechenden Risikoeinstufungen und Onapsis Research Labs fundiertes Fachwissen und Erfahrung, um der breiteren Informationssicherheits-Community technische und geschäftliche Einblicke mit fundierten Sicherheitsbeurteilungen zu liefern. Alle gemeldeten Sicherheitslücken finden Sie unter: https://github.com/Onapsis/vulnerability_advisories Dieser Hinweis unterliegt einer Creative Commons 4.0 BY-ND International-Lizenz