Vysoko závažné zraniteľnosti SAP
Spoločnosť SAP vydala v júli 2024 balík opráv pre svoje produkty opravujúcich 16 zraniteľností v aplikáciách PDCE, Commerce, Landscape Management, Document Builder, NetWeaver Knowledge Management XMLEditor a ďalších. 2 z nich sú označené ako vysoko závažné. Úspešné zneužitie umožňuje neautentifikovanému útočníkovi čítať všeobecné údaje z tabuľky alebo pristupovať k nesprávne nakonfigurovaným stránkam. Na zraniteľnosť upozornila spoločnosť Onapsis Research Labs (ORL).
Zraniteľné systémy:
- SAP PDCE– S4CORE 102, 103, S4COREOP 104, 105, 106, 107, 108
- SAP Commerce– HY_COM 2205, COM_CLOUD 2211
- SAP Landscape Management – VCM 3.00
- SAP Document Builder – S4CORE 100, 101, S4FND 102, 103, 104, 105, 106, 107, 108, SAP_BS_FND 702, 731, 746, 747, 748
- SAP NetWeaver Knowledge Management XMLEditor,– KMC-WPC 7.50
- SAP CRM WebClient UI – S4FND 102, 103, 104, 105, 106, 107, 108, WEBCUIF 701, 731, 746, 747, 748, 800, 801
- SAP Business Warehouse – Business Planning and Simulation, – SAP_BW 700, 701, 702, 730, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 758, SAP_BW_VIRTUAL_COMP 701
- SAP S/4HANA Finance (Advanced Payment Management),– S4CORE 107, 108
- SAP Business Workflow (WebFlow Services)– SAP_BASIS 700, SAP_BASIS 701, SAP_BASIS 702, SAP_BASIS 731, SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758
- SAP GUI for Windows– BC-FES-GUI 8
- SAP Transportation Management (Collaboration Portal)– SAPTMUI 140, 150, 160, 170
- SAP Enable Now– WPB_MANAGER_CE 10, WPB_MANAGER_HANA 10, ENABLE_NOW_CONSUMP_DEL 1704
Opis činnosti:
CVE-2024-39592 (CVSS skóre 7,7 )
Vysoko závažná zraniteľnosť CVE-2024-39592, chýbajúca kontrola autorizácie, sa nachádza v nástroji PDCE (Product Design Cost Estimating). Chyba umožňuje vzdialenému útočníkovi čítať všeobecné údaje z tabuľky, čo ovplyvňuje dôvernosť systému.
CVE-2024-39597 (CVSS skóre 7,2 )
Chyba CVE-2024-39597 sa týka nesprávnej autorizácie v systéme SAP Commerce, čo umožňuje útočníkovi pristupovať k nesprávne nakonfigurovaným stránkam. Úspešné zneužitie si vyžaduje aby útočník zneužil funkciu zabudnutého hesla pre získanie prístupu na stránku, pre ktorú je aktivované prihlásenie a registrácia bez schválenia. Pokiaľ nie je lokalita izolovaná, umožňuje to prístup aj k iným neizolovaným lokalitám.
Ostatné zraniteľnosti so strednou závažnosťou sa nachádzajú v aplikáciách Landscape Management, Document Builder, NetWeaver, CRM, Business Warehouse, S/4HANA, Business Workflow, GUI for Windows, Transportation Management a Enable Now.
Závažnosť zraniteľnosti: Závažná
Možné škody:
- Narušenie dostupnosti
Odporúčania:
Odporúčame bezodkladnú aktualizáciu na najnovšiu možnú verziu.
Pre zmiernenie zraniteľnosti CVE-2024-39592 odporúčame vypnúť zraniteľný modul.
Ako dočasné riešenie pre zraniteľnosť CVE-2024-39597 spoločnosť SAP odporúča vypnúť registráciu pre dotknuté izolované lokality Composable Storefront B2B a pre všetky neizolované lokality Composable Storefront B2B, ak je skoré prihlásenie povolené aspoň na jednej z týchto neizolovaných lokalít.
Odkazy:
https://www.securityweek.com/sap-patches-high-severity-vulnerabilities-in-pdce-commerce/