Hier findet ihr eine Übersicht der SAP Security Notes für November 2024:
1. Score 8.8 (High priority)
Nummer: 3520281
[CVE-2024-47590] Cross-Site-Scripting-Schwachstelle (XSS) in SAP Web Dispatcher
Ein Angreifer ohne Authentifizierung kann einen bösartigen Link erstellen und diesen öffentlich zugänglich machen. Klickt ein authentifizierter Benutzer auf diesen Link, werden dessen Eingaben von der Webseiten-Generierung verarbeitet. Dadurch erhält der Angreifer die Möglichkeit, über das Opfer-Browserfenster (XXS) oder die Datenweiterleitung zu einem anderen Server (SSRF) beliebigen Code auszuführen. Dies kann die Vertraulichkeit, Integrität und Verfügbarkeit der Serverinhalte vollständig beeinträchtigen.
2. Score 7.7 (High priority)
Nummer: 3483344
[CVE-2024-39592] Fehlende Berechtigungsprüfung in SAP PDCE
Bestimmte Komponenten in SAP PDCE führen für authentifizierte Benutzer keine notwendigen Berechtigungsprüfungen durch, was zu einer möglichen Ausweitung der Rechte führt. Dadurch kann ein Angreifer auf vertrauliche Informationen zugreifen, was die Vertraulichkeit der Anwendung erheblich gefährdet.
Änderungshistorie:
v11 (aktuell) – UPDATE 12. November 2024: Dieser SAP-Hinweis wurde mit ergänzenden Anweisungen zur Fehlerbehebung erneut veröffentlicht. Die Korrekturen für SEM-BW 600 stehen nun zur Verfügung.
v9 (vorher) – UPDATE 25. September 2024: Erneute Veröffentlichung dieses SAP-Hinweises mit überarbeiteten Korrekturdetails. Korrekturen für SEM-BW 602 bis SEM-BW 748 wurden bereitgestellt.
v7 (erste Version)
3. Score 6.5 (Medium priority)
Nummer: 3335394
[CVE-2024-42372] Fehlende Berechtigungsprüfung in SAP NetWeaver AS Java (System Landscape Directory)
Durch das Fehlen einer Berechtigungsprüfung in SAP NetWeaver AS Java (System Landscape Directory) können nicht autorisierte Benutzer auf bestimmte eingeschränkte globale SLD-Konfigurationen zugreifen und diese verändern. Dies hat moderate Auswirkungen auf die Vertraulichkeit und Integrität der Anwendung.
4. Score 6.3 (Medium priority)
Nummer: 3509619
[CVE-2024-47595] Lokale Berechtigungseskalation im SAP Host-Agent
Ein Angreifer, der Mitgliedschaft in der lokalen Gruppe sapsys erlangt, könnte geschützte lokale Dateien ersetzen. Ein erfolgreicher Angriff hätte jedoch nur begrenzte Auswirkungen auf die Vertraulichkeit und Integrität der Anwendung.
5. Score 5.3 (Medium priority)
Nummer: 3393899
[CVE-2024-47592] Schwachstelle mit Blick auf Offenlegung von Informationen in SAP NetWeaver Application Server Java (Anmeldeanwendung)
Ein nicht authentifizierter Angreifer kann in SAP NetWeaver AS Java die Anmeldefunktion missbrauchen, um gültige Benutzer-IDs aufzudecken. Dabei wird die Vertraulichkeit beeinträchtigt, während Integrität und Verfügbarkeit unberührt bleiben.
6. Score 5.3 (Medium priority)
Nummer: 3504390
[CVE-2024-47586] NULL-Pointer-Dereferenz-Schwachstelle in SAP NetWeaver Application Server für ABAP und ABAP-Plattform
Auf SAP NetWeaver Application Server für ABAP und der ABAP-Plattform kann ein Angreifer ohne Authentifizierung einen böswillig gestalteten HTTP-Request senden, der eine NullPointer-Dereferenz im Kernel auslöst. Dies führt zu einem Systemabsturz und Neustart, wodurch das System vorübergehend nicht verfügbar ist. Die Vertraulichkeit und Integrität bleiben dabei unbeeinträchtigt.
7. Score 4.7 (Medium priority)
Nummer: 3522953
[CVE-2024-47588] Schwachstelle bezüglich der Offenlegung von Informationen in SAP NetWeaver Java (Software Update Manager)
In SAP NetWeaver Java (Software Update Manager 1.1) werden Anmeldeinformationen unter bestimmten Bedingungen, wenn bei einem Software-Upgrade Fehler auftreten, in Klartext in eine Protokolldatei geschrieben. Ein Angreifer mit lokalem Zugriff auf den Server, der sich als nicht administrativer Benutzer authentifiziert, kann die Anmeldeinformationen aus den Protokollen abrufen. Dies hat hohe Auswirkungen auf die Vertraulichkeit, ohne dass sich dies auf die Integrität oder Verfügbarkeit auswirkt.
8. Score 4.3 (Medium priority)
Nummer: 3508947
[CVE-2024-47593] Schwachstelle bezüglich der Offenlegung von Informationen in SAP NetWeaver Application Server für ABAP und ABAP-Plattform
Durch eine Sicherheitslücke im SAP NetWeaver Application Server ABAP können unbefugte Personen über das Netzwerk auf bestimmte Dateien zugreifen. Voraussetzung hierfür ist die Nutzung eines Web Dispatchers oder Proxy-Servers sowie der vorherige Zugriff auf die Datei über die SAP-GUI-for-HTML. Die Funktionalität der Anwendung bleibt hiervon unberührt.
9. Score 3.5 (Low priority)
Nummer: 3498470
[CVE-2024-47587] Fehlende Berechtigungsprüfung in SAP Cash Management (Cash-Vorgänge)
Das System führt bei Cash-Vorgängen keine ausreichenden Berechtigungsprüfungen durch. Dadurch können autorisierte Benutzer auf Funktionen zugreifen, für die sie eigentlich keine Berechtigung besitzen. Obwohl Benutzer mehr Rechte erhalten als vorgesehen, stellt dies keine ernsthafte Sicherheitsbedrohung dar.
10. Score 3.5 (Low priority)
Nummer: 3392049
[CVE-2024-33000] Fehlende Berechtigungsprüfung in SAP Bank Account Management
Eine Lücke in der Berechtigungsprüfung des SAP Bank Account Managements führt zu einer unerwünschten Erweiterung von Benutzerrechten. Dadurch können Benutzer unbeabsichtigt auf mehr Funktionen zugreifen als vorgesehen. Diese Schwachstelle hat jedoch nur geringe Auswirkungen auf die Vertraulichkeit der Daten. Die aktuelle Version (v12) dieses Sicherheitshinweises vom 12. November 2024 enthält keine neuen Informationen. Für eine optimale Datenkonsistenz empfehlen wir zusätzlich die Implementierung des Sicherheitshinweises 3498470.
Dies waren die Security Notes für Novemver 2024. Schnappt euch eine Tasse Kaffee oder Tee und ran an`s Patchen.