Update verfügbar

Mehrere Sicherheitslücken in SAP Netweaver

In SAP Netweaver 7.x wurden diverse Sicherheitslücken gemeldet, die sich im schlimmsten Fall für unerlaubte Systemzugriffe ausnutzen lassen. Der Software-Hersteller hat eine Aktualisierung bereitgestellt.

Insgesamt sieben Sicherheitslücken plagen SAP Netweaver 7.x. Diese lassen Umgehung der Sicherheitsrichtlinien, Cross Site Scripting, Datenmanipulation und Systemzugriffe zu. Sie sind als weniger kritisch eingestuft, da sich der Angreifer auf dem lokalen System befinden muss.

Eingaben mittels diverser Transaktionen in den BAPI Explorer überprüft die Software nicht ausreichend. Somit lässt sich unteer Umständen beliebiger HTML- oder Script-Code in der Browser-Sitzung eines Anwenders ausführen.

Eingaben in die Parameter instname und name im VsiTestServlet Servlet wird innerhalb der Virenscanner-Schnittstelle nicht richtig überprüft. Auch hier könnte sich HTML- oder Script-Code in der Browser-Sitzung ausführen lassen.

Das selbe gilt für den Parameter page in /SAP/BW/DOC/METADATA/.

Ein Fehler im RSTXSCRP-Bericht bei der Benutzung von sa38-Transaktionen könnte sich ausnutzen lassen, um einen beliebigen UNC-Pfad mittels des "Field Name"-Feldes einzufügen.

Bei der Behandlung bestimmter SOAP-Anfragen im TH_GREP-Bericht lässt sich ausnutzen, um beliebige Shell-Befehle mittels eines <STRING>-Parameters auszuführen.

Der SPML -Dienst erlaubt es Anwendern, bestimmte Aktionen mittels HTTP-Anfragen durchzuführen, ohne dass diese ausreichend überprüft warden. Damit könnte sich zum Beispiel ein beliebiger Anwender anlegen lassen, wenn ein Administrator eine speziell manipulierte Seite besucht.

Ein Fehler im CTC-Dienst bei der Authentifizierung lässt sich ausnutzen, um Zugriff auf die Benutzerverwaltung oder die Betriebssystem-Befehls-Funktionalität zu ergaunern. Ein erfolgreicher Angriff könnte das Ausführen beliebigen Codes zulassen.

Administratoren sollten die bereitstehenden Updates einspielen: service.sap.com, service.sap.com, service.sap.com, service.sap.com, service.sap.com, service.sap.com, service.sap.com (jdo)