Компания SAP выпустила ряд патчей для своих продуктов. Немецкий разработчик бизнес-приложений исправил серьезные уязвимости, которые могли привести к обходу процедур аутентификации, несанкционированному доступу к файлам и утечке конфиденциальных данных, а также представил заплатки для нескольких менее опасных ошибок. Обновленные версии программ распространяются по каналам поддержки вендора.

Критические баги в бизнес-продуктах SAP

Наибольшую угрозу безопасности представляет уязвимость CVE-2019-0379, найденная в одном из дополнительных модулей бизнес-платформы SAP NetWeaver Process Integration версий ниже 1.0 и 2.0. Этот аддон используется для обмена с бизнес-партнерами и призван обеспечивать надежную передачу деловой документации через Интернет, гарантируя конфиденциальность и достоверность данных.

Предусмотренную проектом проверку подлинности осуществляют две системы доступа, и в одном из случаев ее можно обойти, создав открытый сертификат на основе произвольной пары ключей. В итоге злоумышленник сможет украсть или видоизменить конфиденциальную информацию, а также получить доступ к функциональным возможностям на уровне администратора. Багу присудили критический уровень опасности и 9,3 балла по шкале CVSS.

Другую критическую ошибку разработчики залатали в решении SAP Landscape Management корпоративного класса. Недостаток допускает размещение некоторых параметров безопасности в общедоступных журналах, что при определенных условиях может привести к несанкционированному раскрытию этой информации. Баг зарегистрирован как CVE-2019-0380 и оценен в 9,1 балла CVSS.

Ошибки в СУБД SAP и другие уязвимости

Чуть менее опасной выглядит уязвимость CVE-2019-0380 (7,8 балла), затрагивающая три продукта для управления базами данных. Из-за неправильной работы алгоритма поиска файлов злоумышленник с локальным доступом может выйти за пределы каталога ресурса и просмотреть, перезаписать или удалить любой файл в системе.

Баг присутствует в следующих программах:

  • SAP IQ версий ниже 16.1;
  • SAP SQL Anywhere ниже 17.0;
  • SAP Dynamic Tiering ниже 1.0 и 2.0.

Несколько уязвимостей, получивших от 4,3 до 5,4 балла по шкале CVSS, закрыли в аналитической платформе SAP BusinessObjects Business Intelligence, приложении для формирования отчетности Financial Consolidation и еще одном аддоне SAP NetWeaver Process Integration. Результатом их эксплуатации может стать межсайтовый скриптинг, отказ в обслуживании и обход аутентификации.

Предыдущий пакет обновлений безопасности SAP содержал 14 заплаток, четыре из которых устраняли критические уязвимости. Апдейты получили Windows-версия платформы Solution Manager (SolMan), приложение HANA Extended Application Services, браузер Business Client и другие продукты вендора.

Категории: Главное, Кибероборона, Уязвимости