Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

SAPen segurtasun eguneraketa 2018ko uztailean

Argitalpen data: 2018/07/11

Garrantzia: Kritikoa

Kaltetutako baliabideak:

  • SAP Business Client, 6.5 bertsioa
  • SAP Internet Sales, 7.30,7.31, 7.32, 7.33 eta 7.54 bertsioak
  • SAP Business Objects, 4.0tik 4.10era bitarteko bertsioak, 4.20tik 4.30era bitartekoak
  • SAP Crystal Reports, Visual Studio .NETerako bertsioa, 2010eko bertsioa
  • AP R/3 Enterprise Retail, EHP6 bertsioa
  • SAP CrystalReports, Visual Studio .NETerako bertsioa, 2010eko bertsioa
  • SAP BusinessObjects Business Intelligence Suite, 4.10 eta 4.20 bertsioak
  • SAP Business Objects Enterprise, 4.0 eta 4.1 bertsioak
  • SAP Gateway, honako bertsioak: SAP KERNEL 32 NUC, SAP KERNEL 32 Unicode, SAP KERNEL 64 NUC, SAP KERNEL 64 Unicode 7.21, 7.21EXT, 7.22 eta 7.22EXT; SAP KERNEL 7.21, 7.22, 7.45, 7.49 eta 7.53
  • SAP MaxDB ODBC driver, 7.9.09.07 bertsioa
  • SAP Internet Graphics Server (IGS); 7.20, 7.20EXT, 7.45, 7.49 eta 7.53 bertsioak
  • NextLabs-eko (Java Policy Controller) SAP Dynamic Authorization Management (DAM), 7.7 eta 8.5 bertsioak
  • SAP BusinessObjects Business Intelligence (BI Launchpad eta Central Management Console), 4.1, 4.2 eta 4.3 bertsioak
  • Infrastructure for UI add-on for SAP NetWeaver (UI_Infra), SAP UI Implementation for Decoupled Innovations (UI_700): NW 7.00 Implementation, SAP User Interface Technology (SAP_UI), UI_Infra 1.0 bertsioak; SAP_UI 7.4, 7.5, 7.51 eta 7.52; UI_700 2.0

Azalpena:

SAPek hainbat produkturi buruzko segurtasun eguneraketa batzuk argitaratu ditu bere hileroko komunikatuan.

Konponbidea:

SAPen laguntzarako webgunea bisitatu eta fabrikatzaileak adierazten dituen beharrezko eguneraketa edo partxeak instalatzea.

Xehetasuna:

SAPek segurtasun partxeei buruz argitaratzen duen hileroko komunikatuan 16 segurtasun ohar eman ditu ezagutzera. Horietatik 5 ohar lehenagotik argitaratutako segurtasun oharrei dagozkien eguneraketak dira, beste 1 larritasun kritikokoa da, beste 2 larritasun altukoak eta beste 13 larritasun ertainekoak.

Argitaratutako ahultasun motak ondokoak dira:

  • Kode injekzioko 3 ahultasun
  • Informazio zabalkundeko ahultasun bat
  • Zerbitzuaren ukapeneko 3 ahultasun
  • Cross-Site Scripting erako 2 ahultasun
  • Baimenaren egiaztapen gabeziako ahultasun bat
  • Beste tipologia batzuetako 3 ahultasun

Ahultasun garrantzitsuenak ondokoak dira:

  • SAP R/3 Enterprise Retail-en baimenaren egiaztatze gabeziako ahultasun bat baliatuz, zerbitzu batera sarbidea lor liteke inolako baimen prozedurarik gabe, eta sarbide murriztua duen zerbitzuaren funtzionaltasuna erabil liteke. Horrek informazio zabalkundea, pribilegioen igoera eta beste eraso batzuk eragin litzake. Ahultasun horretarako CVE-2018-2436 kodea erreserbatu da.
  • SAP CrystalReports-ek duen kodearen injekzio erako ahultasun bat baliatuz, komandoen exekuzioa lor liteke komandoa exekutatu zuen zerbitzuaren pribilegio berdinekin. Posible da SAP zerbitzariko fitxategien sistema batean kokatuta dauden fitxategi eta direktorio arbitrarioetara sarbidea lortzea, aplikazioaren iturburu kodea, konfigurazioa eta sistemaren fitxategi kritikoak barne. Kaltetutako SAP sistema batean gordetako informazio tekniko eta negozioari buruzko informazio kritikoa eskura daiteke. Ahultasun horretarako CVE-2018-2427 identifikatzailea erreserbatu da.
  • SAP CrystalReports-ek duen Cross-Site Scripting erako ahultasun bat baliatuz, erasotzaile batek script gaiztoa injekta lezake orrialde batean, hura iraunkorki gordez orriaren gorputzean, eta horrela erabiltzailea erasotuz inolako ekintzarik egin gabe. Script gaiztoak sarbidea eman lezake cookie guztietara, saio tokenetara eta nabigatzaileak gordetzen duen eta webgune batekin interaktuatzeko erabiltzen den beste edozein informazio kritikora. Erasotzaileak erabiltzailearen saiora sarbidea izan lezake eta negoziorako kritikoa den informazioa eskuratu. Kasu batzuetan, gainera, haren gaineko kontrola lor liteke. XSS baliatua izan daiteke erakutsitako webguneko edukia baimenik gabe aldatzeko. Ahultasun horretarako CVE-2018-2431 kodea erreserbatu da.
Etiketak: Eguneraketa, SAP, Ahultasuna