SAP NEWS: Patchday Juli 2024
Hier findet ihr eine Übersicht der SAP Security Notes für Juli 2024:
1. Score 7.7 (High priority)
Nummer: 3483344
[CVE-2024-39592] Fehlende Berechtigungsprüfung in SAP PDCE
Bestimmte Komponenten von SAP PDCE führen für einen authentifizierten Benutzer keine notwendigen Berechtigungsprüfungen durch, was zu einer unberechtigten Rechteausweitung führt. Dies erlaubt einem Angreifer, auf vertrauliche Informationen zuzugreifen, was die Vertraulichkeit der Anwendung erheblich beeinträchtigt.
2. Score 7.2 (High priority)
Nummer: 3490515
[CVE-2024-39597] Falsche Berechtigungsprüfungen auf B2B-Sites mit zusammensetzbarer Storefront für frühe Anmeldung von SAP Commerce
In SAP Commerce ist es möglich, die Funktion für vergessene Kennwörter zu missbrauchen, um auf eine Composable Storefront B2B-Site zuzugreifen, bei der eine frühe Anmeldung und Registrierung aktiviert ist, ohne dass das Konto zuvor vom Händler genehmigt werden muss. Wenn die Site nicht isoliert konfiguriert ist, kann dies auch Zugriff auf andere nicht isolierte frühe Anmeldesites ermöglichen, selbst wenn für diese anderen Sites keine Registrierung aktiviert ist.
3. Score 6.9 (Medium priority)
Nummer: 3466801
[CVE-2024-39593] Schwachstelle in SAP Landscape Management bezüglich der Offenlegung von Informationen
Mit SAP Landscape Management kann ein authentifizierter Benutzer auf vertrauliche Daten zugreifen, die in der Antwort der REST-Provider-Definition offengelegt werden. Ein erfolgreicher Zugriff kann die Vertraulichkeit der verwalteten Entitäten erheblich beeinträchtigen.
4. Score 6.5 (Medium priority)
Nummer: 3459379
[CVE-2024-34683] Uneingeschränkter Datei-Upload in SAP Document Builder (HTTP-Service)
Ein authentifizierter Angreifer hat die Möglichkeit, eine schädliche Datei in den Service SAP Document Builder hochzuladen. Öffnet das Opfer diese Datei, kann der Angreifer auf die Informationen im Browser des Opfers zugreifen und diese entweder verändern oder unzugänglich machen.
5. Score 6.1 (Medium priority)
Nummer: 3482217
[CVE-2024-39594] Mehrere Cross-Site-Scripting-Schwachstellen (XSS) in SAP Business Warehouse – Business Planning and Simulation
Dieser Sicherheitshinweis betrifft zwei Schwachstellen in SAP Business Warehouse: Business Planning and Simulation. Die Details zu den Schwachstellen und ihre CVE-relevanten Informationen finden Sie weiter unten.
6. Score 6.1 (Medium priority)
Nummer: 3468681
[CVE-2024-34685] Cross-Site-Scripting-Schwachstelle (XSS) in XMLEditor von SAP NetWeaver Knowledge Management
Aufgrund unzureichender Codierung benutzergesteuerter Eingaben kann der XMLEditor von SAP NetWeaver Knowledge Management schädliche Skripte ausführen, was potenziell zu einer Cross-Site-Scripting-Schwachstelle (XSS) führt. Dies beeinträchtigt nicht die Verfügbarkeit der Anwendung, jedoch geringfügig deren Vertraulichkeit und Integrität.
7. Score 6.1 (Medium priority)
Nummer: 3467377
[Mehrere CVEs] Mehrere Schwachstellen in SAP CRM (WebClient UI)
Der folgende SAP-Sicherheitshinweis behandelt Schwachstellen in SAP CRM (WebClient UI), die wie folgt beschrieben werden:
Reflected-Cross-Site-Scripting (CVE-2024-37173):
Durch unzureichende Eingabevalidierung ermöglicht SAP CRM WebClient UI einem nicht authentifizierten Angreifer das Einbetten eines schädlichen Skripts in einen URL-Link. Beim Klicken auf den Link im Browser des Opfers kann der Angreifer auf Informationen zugreifen oder diese ändern, ohne die Anwendungsverfügbarkeit zu beeinträchtigen. (CVSS-Score: 6.1)
CSS-basiertes Cross-Site-Scripting (CVE-2024-37174):
Die Unterstützung für benutzerdefinierte CSS im SAP CRM WebClient UI kodiert benutzergesteuerte Eingaben nicht ausreichend, was eine XSS-Schwachstelle zur Folge hat. Ein erfolgreicher Angriff kann die Vertraulichkeit und Integrität der Anwendung beeinträchtigen. (CVSS-Score: 6.1)
Server-Side Request Forgery (CVE-2024-39598):
SAP CRM WebClient-UI-Framework erlaubt einem authentifizierten Angreifer, durch speziell gestaltete HTTP-Anfragen die zugänglichen HTTP-Endpunkte im internen Netzwerk aufzulisten, was zur Offenlegung von Informationen führen kann. Diese Schwachstelle hat keine Auswirkungen auf die Integrität und Verfügbarkeit der Anwendung. (CVSS-Score: 5.0)
Fehlende Berechtigungsprüfung (CVE-2024-37175):
SAP CRM WebClient führt für einen authentifizierten Benutzer nicht die erforderlichen Berechtigungsprüfungen durch, was zu einer potenziellen Rechteausweitung und dem Zugriff auf sensible Informationen führen kann. (CVSS-Score: 4.3).
8. Score 5.4 (Medium priority)
Nummer: 3457354
[CVE-2024-37172] Fehlende Berechtigungsprüfung in SAP S/4HANA Finance für die erweiterte Zahlungsverwaltung
In SAP S/4HANA Finance für erweitertes Zahlungsmanagement werden für authentifizierte Benutzer erforderliche Berechtigungsprüfungen nicht durchgeführt, was zu einer Rechteausweitung führen kann. Dies beeinträchtigt die Vertraulichkeit und Verfügbarkeit der Daten in geringem Maße, hat jedoch keine Auswirkungen auf deren Integrität.
9. Score 5.0 (Medium priority)
Nummer: 3461110
[CVE-2024-39600] Schwachstelle bezüglich der Offenlegung von Informationen in SAP GUI for Windows
Unter bestimmten Voraussetzungen speichert SAP GUI for Windows das Anmeldepasswort für SAP-Systeme im Speicher, wodurch ein Angreifer Zugriff auf dieses Passwort erlangen und sich als der betroffene Benutzer ausgeben könnte. Dies stellt eine erhebliche Bedrohung für die Vertraulichkeit dar, hat jedoch keine direkten Auswirkungen auf Integrität und Verfügbarkeit der Systeme.
10. Score 5.0 (Medium priority)
Nummer: 3485805
[CVE-2024-34689] Erlaubtliste von Callback-URLs in SAP Business Workflow (WebFlow-Services)
Unter bestimmten Bedingungen speichert SAP GUI for Windows das Anmeldepasswort für SAP-Systeme im Speicher. Dadurch könnte ein Angreifer Zugriff auf dieses Passwort erlangen und sich als der betroffene Benutzer ausgeben. Diese Schwachstelle stellt eine ernste Vertraulichkeitsbedrohung dar, beeinträchtigt jedoch nicht die Integrität oder Verfügbarkeit der Systeme direkt.
11. Score 5.0 (Medium priority)
Nummer: 3483993
[CVE-2024-34689] Voraussetzung für Sicherheitshinweis 3458789
Bevor Sie Sicherheitshinweis 3458789 einspielen können, müssen Sie zunächst diesen erforderlichen Sicherheitshinweis berücksichtigen.
12. Score 5.0 (Medium priority)
Nummer: 3469958
[CVE-2024-37171] Server-Side Request Forgery (SSRF) in SAP Transportation Management (Collaboration Portal)
SAP Transportation Management (Collaboration Portal) ermöglicht es einem Angreifer mit nicht administrativen Berechtigungen, eine gezielte Anfrage aus einer anfälligen Webanwendung zu senden. Dadurch wird der Anwendungs-Handler veranlasst, eine Anforderung an einen unbeabsichtigten Service zu senden, der möglicherweise Informationen über diesen Service offenlegt. Die erhaltenen Informationen können verwendet werden, um interne Systeme hinter Firewalls anzusprechen, auf die ein Angreifer aus dem externen Netzwerk normalerweise nicht zugreifen kann, was zu einer Server-Side-Request-Forgery-Schwachstelle führt. Es gibt keine Auswirkungen auf die Integrität oder Verfügbarkeit der Anwendung.
13. Score 5.0 (Medium priority)
Nummer: 3458789
[CVE-2024-34689] Serverseitige Request Forgery in SAP Business Workflow (WebFlow-Services)
WebFlow-Services von SAP Business Workflow ermöglichen es einem authentifizierten Angreifer, barrierefreie HTTP-Endpunkte im internen Netzwerk aufzuführen, indem er spezielle HTTP-Requests erstellt. Bei erfolgreicher Nutzung kann dies zu einer Offenlegung von Informationen führen. Dies hat keine Auswirkungen auf die Integrität und Verfügbarkeit der Anwendung.
18. Score 4.1 (Medium priority)
Nummer: 3392049
[CVE-2024-33000] Fehlende Berechtigungsprüfung in SAP Bank Account Management
Für einen autorisierten Benutzer führt SAP Bank Account Management keine erforderliche Berechtigungsprüfung durch, was zu einer potenziellen Rechteausweitung führen kann. Diese Schwachstelle hat geringfügige Auswirkungen auf die Vertraulichkeit des Systems.
14. Score 4.7 (Medium priority)
Nummer: 3456952
[CVE-2024-39599] Ausfall des Schutzmechanismus in SAP NetWeaver Application Server für ABAP und ABAP-Plattform
Ein Fehler im Schutzmechanismus des SAP NetWeaver Application Servers für ABAP und der ABAP-Plattform ermöglicht es einem Entwickler, das konfigurierte Malware-Scanner-API aufgrund eines Programmfehlers zu umgehen. Diese Schwachstelle hat geringfügige Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung.
15. Score 4.3 (Medium priority)
Nummer: 3476348
[CVE-2024-39596] Schwachstelle aufgrund fehlender Berechtigungsprüfung in SAP Enable Now
Aufgrund fehlender Berechtigungsprüfungen erlaubt SAP Enable Now einem Autor, Zugriffsberechtigungen auf Informationen auszuweiten, die normalerweise eingeschränkt sein sollten. Ein erfolgreicher Angriff könnte begrenzte Auswirkungen auf die Vertraulichkeit der Anwendung haben.
18. Score 3.5 (Low priority)
Nummer: 3392049
[CVE-2024-33000] Fehlende Berechtigungsprüfung in SAP Bank Account Management
SAP Bank Account Management führt für autorisierte Benutzer keine erforderlichen Berechtigungsprüfungen durch, was zu einer potenziellen Rechteausweitung führen kann. Dies hat geringfügige Auswirkungen auf die Vertraulichkeit des Systems.
Änderungsprotokoll:
- Version 8 (aktuell) – UPDATE vom 11. Juni 2024: Dieser SAP-Hinweis wurde erneut veröffentlicht mit aktualisierten Anweisungen zur Fehlerbehebung.
- Version 6 (Erstversion)
16. Score 4.1 (Medium priority)
Nummer: 3101986
CSP-Unterstützung für On-Premise-Downport für Codeabhängigkeit im SAP CRM WebClient UI vorbereiten
Korrekturen für Verstöße gegen die Content-Security-Policy (CSP), wie im SAP-Hinweis 3107861 beschrieben, sind erforderlich, um Abhängigkeiten im Code zu beheben.
Weitere Informationen zur Unterstützung der Content-Security-Policy (CSP) für SAP S/4HANA Private Cloud im SAP CRM WebClient UI finden Sie im SAP-Hinweis 3479117: „Aktivieren der CSP-Unterstützung für SAP S/4HANA Private Cloud im SAP CRM WebClient UI“.
Änderungsprotokoll:
- Version 4 (aktuell) – UPDATE vom 9. Juli 2024: Dieser SAP-Hinweis wurde mit Textänderungen im Titel erneut veröffentlicht.
- Version 2 (Erstversion)
17. Score 4.1 (Medium priority)
Nummer: 3454858
[CVE-2024-37180] Schwachstelle bezüglich der Offenlegung von Informationen in SAP NetWeaver Application Server für ABAP und ABAP-Plattform
Unter spezifischen Bedingungen gestattet der SAP NetWeaver Application Server für ABAP und die ABAP-Plattform einem Angreifer den Zugriff auf remote-fähige Funktionsbausteine ohne notwendige Berechtigungen, die normalerweise eingeschränkt wären. Diese Schwachstelle kann genutzt werden, um nicht sensible Informationen abzurufen, was jedoch nur geringfügige Auswirkungen auf die Vertraulichkeit der Anwendung hat.
18. Score 3.5 (Low priority)
Nummer: 3392049
[CVE-2024-33000] Fehlende Berechtigungsprüfung in SAP Bank Account Management
SAP Bank Account Management führt für autorisierte Benutzer keine erforderlichen Berechtigungsprüfungen durch, was zu einer potenziellen Rechteausweitung führen kann. Dies hat geringfügige Auswirkungen auf die Vertraulichkeit des Systems.
Änderungsprotokoll:
- Version 8 (aktuell) – UPDATE vom 11. Juni 2024: Dieser SAP-Hinweis wurde erneut veröffentlicht mit aktualisierten Anweisungen zur Fehlerbehebung.
- Version 6 (Erstversion)
19. Score 3.3 (Low priority)
Nummer: 3476340
[CVE-2024-34692] Uneingeschränkte Datei-Upload-Schwachstelle in SAP Enable Now
Durch mangelnde Verifizierung des Dateityps oder -inhalts gestattet SAP Enable Now einem authentifizierten Angreifer, beliebige Dateien hochzuladen. Diese Dateien könnten ausführbare Inhalte enthalten, die von Benutzern heruntergeladen und ausgeführt werden könnten, was zur Installation von Malware führen könnte. Ein erfolgreicher Angriff könnte begrenzte Auswirkungen auf die Vertraulichkeit und Integrität der Anwendung haben.