Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

Argitalpen data: 2018/09/12

Garrantzia: Handia

Kaltetutako baliabideak:

• SAP Business Client, 6.5 bertsioa
• SAP Business One, 9.2 eta 9.3 bertsioak
• SAP NetWeaver BI, 7.30,7.31,7.40,7.41 eta 7.50 bertsioak
• SAP HANA, 1.0 eta 2.0 bertsioak
• SAP WebDynpro, 7.20, 7.30, 7.31, 7.40, 7.50 bertsioak
• SAP NetWeaver AS Java, 7.10etik 7.11, 7.20, 7.30, 7.31, 7.40, 7.50era bitarteko bertsioak
• SAP Hybris Commerce, 6.* bertsioak
• SAP Plant Connectivity, 15.0 bertsioa
• SAP Adaptive Server Enterprise, 16.0 bertsioa
• SAP HCM Fiori "People Profile" (GBX01HR), 6.0 bertsioa
• SAP Mobile Platform, 3.0 bertsioa
• SAP Enterprise Financial Services, 6.05, 6.06, 6.16, 6.17, 6.18, 8.0 bertsioa
• SAP Business One Android application, 1.2 bertsioa

Azalpena:

SAPek hainbat produkturi buruzko segurtasun eguneraketa batzuk argitaratu ditu bere hileroko komunikatuan.

Konponbidea:

SAPen laguntzarako webgunea bisitatu eta fabrikatzaileak adierazten duen moduan beharrezkoak diren eguneraketa edo partxeak instalatzea.

Xehetasuna:

SAPek segurtasun partxeei buruz argitaratzen duen hileroko komunikatuan 14 segurtasun ohar eman ditu ezagutzera. Horietatik ohar 1 lehenagotik argitaratutako segurtasun ohar bati dagokion eguneraketa da, beste 3 larritasun altukoak dira, 9 larritasun ertainekoak eta beste 1 larritasun baxukoa.

Argitaratutako ahultasun motak ondokoak dira:

• Zerbitzuaren ukazioko ahultasun bat
• Informazio zabalkundeko 3 ahultasun
• Baimenaren egiaztapen gabeziako 3 ahultasun
• Cross-Site Scripting erako 2 ahultasun
• XMLren balioztatze okerreko 2 ahultasun
• Beste tipologia batzuetako 3 ahultasun

Ahultasun garrantzitsuenak ondokoak dira:

·         SAP Business ONEk eta SAP HANAk duten informazioaren zabalkunde erako ahultasuna baliatuz, erasotzaile batek informazio gehigarria zabal lezake (sistemaren datuak, depurazio informazioa eta abar), eta horrek sistemari buruzko ezagupenak lortzen lagundu lezake beste eraso batzuk prestatzeko. Horren ondorioz informazioaren zabalkundea, pribilegioen eskalatzea eta beste eraso batzuk gerta litezke. CVE-2018-2458 kodea esleitu zaio ahultasun horri.

·         Erasotzaile batek SAP BEx Web Java Runtime Export Web Service-k duen XMLren balioztatze okerreko ahultasuna balia lezake bereziki diseinatutako eta baimendu gabeko XML eskaerak bidaltzeko, XML analizatzaileak prozesatuko lituzkeenak. Horrela erasotzaileak Sistema Eragileko fitxategien sistemara baimendu gabeko sarbidea lortuko luke. CVE-2018-2462 kodea esleitu zaio ahultasun horri.

·         SAP ECC Sales Supportek duen baimenaren egiaztapen gabeziako ahultasun bat baliatuz, erasotzaile batek zerbitzu batera sarbidea lor lezake baimenaren beharrik gabe eta sarbide mugatuko zerbitzu funtzioak erabili behar izan gabe. Horren ondorioz informazioaren zabalkundea, pribilegioen eskalatzea eta beste eraso batzuk gerta litezke.