Firma SAP publikuje aktualizacje bezpieczeństwa 09/2023 (P23-238)

12 września 2023 r. firma SAP opublikowała poradnik bezpieczeństwa (5 gorących wiadomości, ale tylko 2 to nowości) dotyczący luk w zabezpieczeniach wielu produktów. Uwzględniono aktualizacje krytyczne dla następujących elementów:

Platforma SAP Business Intelligence – wersje 420 i 430

SAP CommonCryptoLib – wiele produktów i wersji

Notatka SNote 3320355 uzyskała wynik CVSS na poziomie 9,9 i dotyczy „luki w zabezpieczeniach umożliwiającej ujawnienie informacji w platformie SAP BusinessObjects Business Intelligence (zarządzanie promocjami)”. Ataki wykorzystujące wrażliwe części aplikacji mogą uzyskać dostęp do poufnych informacji. Chociaż wynik wskazuje na wysokie ryzyko, należy pamiętać, że atak może zostać przeprowadzony wyłącznie przez autoryzowane konto. Punktacja jest uzasadniona, ponieważ udana eksploatacja może spowodować poważne szkody i uszkodzenia systemu.

Notatka SNote 3340576 ma wynik CVSS 9,8 i jest opisany jako „kontrola braku autoryzacji w SAP CommonCryptoLib”.

Notatka	Opis	Krytycznoćć	CVSS
2622660	Aktualizacje zabezpieczeń kontroli przeglądarki Google Chromium dostarczane z SAP Business Client Komponenty: BC-FES-BUS-DSK Kategoria: Błąd programu	Krytyczna	10.0
3245526	[CVE-2023-25616] Luka w zabezpieczeniach typu Code Injection w SAP Business Objects Business Intelligence Platform (CMC) Komponenty: BI-BIP-CMC Kategoria: Błąd programu	Krytyczna	9.9
3320355	[CVE-2023-40622] Luka w zabezpieczeniach umożliwiająca ujawnienie informacji w platformie SAP BusinessObjects Business Intelligence (zarządzanie promocjami) Komponenty: BI-BIP-LCM Kategoria: Błąd programu	Krytyczna	9.9
3273480	[CVE-2022-41272] Niewłaściwa kontrola dostępu w SAP NetWeaver AS Java (wyszukiwanie definiowane przez użytkownika) Komponenty: BC-XI-CON-UDS Kategoria: Błąd programu	Krytyczna	9.9
3340576	[CVE-2023-40309] Brak kontroli autoryzacji w SAP CommonCryptoLib Komponenty: BC-IAM-SSO-CCL Kategoria: Błąd programu	Krytyczna	9.8
3370490	[CVE-2023-42472] Niewystarczająca weryfikacja typu pliku w platformie SAP BusinessObjects Business Intelligence (interfejs HTML Web Intelligence) Komponenty: BI-RA-WBI-FE Kategoria: Błąd programu	Wysoka	8.7
3327896	[CVE-2023-40308] Luka w zabezpieczeniach powodująca uszkodzenie pamięci w SAP CommonCryptoLib Komponenty: BC-IAM-SSO-CCL Kategoria: Błąd programu	Wysoka	7.5
3357163	[CVE-2023-40621] Luka w zabezpieczeniach polegająca na wstrzykiwaniu kodu w kliencie SAP PowerDesigner Komponenty: BC-SYB-PD Kategoria: Błąd programu	Średnia	6.3
3317702	[CVE-2023-40623] wersja wydana poprzez udostępnienie pliku katalogów w pakiecie SAP BusinessObjects Suite (instalator) Komponent: BI-BIP-INS Kategoria: Błąd programu	Średnia	6.2
3349805	Luka w zabezpieczeniach typu „odmowa usługi” (DOS) wynikająca z użycia podatnej wersji Commons FileUpload w SAP Quotation Management Insurance (FS-QUO) Komponenty: FS-QUO Kategoria: Błąd programu	Średnia	5.7
3323163	[CVE-2023-40624] Luka Code Injection w SAP NetWeaver AS ABAP (aplikacje oparte na Unified Rendering) Komponenty: BC-WD-UR Kategoria: Błąd programu	Średnia	5.5
3326361	[CVE-2023-40625] Brak kontroli autoryzacji w aplikacji Zarządzaj umowami zakupu Komponenty: MM-FIO-PUR-SQ-CON Kategoria: Błąd programu	Średnia	5.4
3348142	[CVE-2023-41367] Brak kontroli uwierzytelnienia w SAP NetWeaver (procedury z przewodnikiem) Komponenty: BC-GP Kategoria: Błąd programu	Średnia	5.3
3352453	[CVE-2023-37489] Luka w zabezpieczeniach umożliwiająca ujawnienie informacji w platformie SAP BusinessObjects Business Intelligence (system zarządzania wersjami) Komponenty: BI-BIP-LCM Kategoria: Błąd programu	Średnia	5.3
3369680	[CVE-2023-41369] Luka w zabezpieczeniach pętli podmiotu zewnętrznego w SAP S/4HANA (Utwórz aplikację do pojedynczej płatności) Komponenty: FI-FIO-AP Kategoria: Błąd programu	Niska	3.5
3355675	[CVE-2023-41368] Luka w zabezpieczeniach niebezpiecznego bezpośredniego odniesienia do obiektu (IDOR) w SAP S/4HANA (zarządzanie aplikacjami książeczki czekowej) Komponenty: FI-FIO-AP-CHK Kategoria: Błąd programu	Niska	2.7