NCSC-20205-0119]1.00]]M/H] Risico’s gecorrigeerd in SAP-goederen

door

 

Deze pagina zet de platte tekst van officiële advisories automatisch
om naar HTML. Hierbij kan mogelijk informatie verloren gaan. De Signed
PGP-versies zijn leidend.

Publicatie Kans Schade    
  Versie 1.00 vandaag NCSC-2025-0119  
 


medium


high

 
vandaag


medium


high

 NCSC-2025-0119 [1.00]
,

(),
Kenmerken

Kenmerken

  • Out-of-bounds Write
  • Insecure Inherited Permissions
  • Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’)
  • Server-Side Request Forgery (SSRF)
  • Path Traversal: ‘…/…//’
  • Storage of Sensitive Data in a Mechanism without Access Control
  • External Control of Assumed-Immutable Web Parameter
  • Incorrect Authorization
  • Time-of-check Time-of-use (TOCTOU) Race Condition
  • Missing Authorization
  • Cleartext Transmission of Sensitive Information
  • Improper Control of Generation of Code (‘Code Injection’)
Omschrijving

Omschrijving

SAP heeft kwetsbaarheden verholpen in verschillende producten, waaronder SAP Financial Consolidation, SAP Landscape Transformation, SAP NetWeaver Application Server ABAP, SAP Commerce Cloud, SAP ERP BW, SAP BusinessObjects Business Intelligence Platform, SAP KMC WPC, SAP Solution Manager, SAP S4CORE, en SAP CRM. De uitgebrachte paches bevatten een aantal kritieke kwetsbaarheden met de kenmerken , en . De kwetsbaarheid met kenmerk is een kritieke authenticatie-bypass in SAP Financial Consolidation, die ongeauthenticeerde aanvallers toegang geeft tot het Admin-account. SAP Landscape Transformation heeft een kwetsbaarheid met kenmerk , die het mogelijk maakt voor aanvallers met gebruikersprivileges om willekeurige ABAP-code in te voegen. De kwetsbaarheid met kenmerk in SAP S/4HANA (Private Cloud) stelt een aanvaller met gebruikersprivileges in staat om willekeurige ABAP-code in de RFC-functiemodule te injecteren en autorisatiecontroles te omzeilen, waardoor de vertrouwelijkheid, integriteit en beschikbaarheid van het systeem in gevaar komen. SAP NetWeaver Application Server ABAP heeft een Mixed Dynamic RFC Destination-kwetsbaarheid die kan leiden tot blootstelling van gevoelige inloggegevens. Daarnaast zijn er kwetsbaarheden in SAP Commerce Cloud die de vertrouwelijkheid en integriteit van gegevens in gevaar kunnen brengen. De kwetsbaarheden in SAP ERP BW en SAP BusinessObjects kunnen leiden tot ongeautoriseerde uitvoering van commando’s en wijziging van bestanden. De directory traversal-kwetsbaarheden in SAP Capital Yield Tax Management en SAP Solution Manager stellen aanvallers in staat om gevoelige informatie te verkrijgen. De SSRF-kwetsbaarheid in SAP CRM en SAP S/4HANA kan de vertrouwelijkheid van interne netwerkbronnen in gevaar brengen.
Bereik

Bereik

Platforms Producten Versies

ATOSS ATOSS Staff Efficiency Suite
Amazon Amazon Linux 2
Apache Tomcat
Apache tomcat
SAP Business Application Software Integrated Solution
SAP BusinessObjects Financial Consolidation
SAP Commerce
SAP Commerce Cloud
SAP Commerce Data Hub
SAP ERP Financials Information System
SAP Enterprise Extension Financial Services
SAP Enterprise Financial Services
SAP Financial Consolidation
SAP Financial Consolidation Cube Designer
SAP Landscape Management
SAP Landscape Transformation
SAP NetWeaver
SAP NetWeaver (SAP Enterprise Portal)
SAP NetWeaver AS ABAP (BSP Framework)
SAP NetWeaver AS ABAP (Business Server Pages application) SAP Netweaver System Landscape Directory SAP Solution Manager SAP landscape_management SAP_SE SAP Landscape Transformation (Analysis Platform) SAP_SE SAP NetWeaver AS Java (System Landscape Directory) SAP_SE SAP S/4HANA (Private Cloud) sap landscape_management sap landscape_transformation_replication_server

10.0 – 10.0.0.1933 – 10.1 – 2.00 – 6.0 – 6.03 – 6.04 – 6.05 – 6.06 – 6.16 – 6.17 – 6.18 – 8.0 – 6.05 – 6.06 – 6.16 – 6.17 – 6.18 – 8.0 – 10.0 – 10.1 – 1010 – 10.1 – 7.50 – 700 – 701 – 702 – 731 – 740 – 750 – 751 – 752 – 753 – 754 – 755 – 756 – 757 – 700 – 701 – 702 – 731 – 740 – 750 – 751 – 752 – 75c – 1808 – 1811 – 1905 – 2001 zh – 2005 – 2011 – 2105 – 2205 – 2211 – 6.7 – 2205 hy_com – 2211 – none – 7.0 – 7.10 – 7.20 – 7.40 – 720 – 740 – com_cloud 2211 – hy_com 2205 – 2211 – com_cloud 2211 – com_cloud 2211|hy_com 2205 – hy_com 2205 – 1808 – 1811 – 1905 – 7.00 – 7.01 – 7.02 – 7.10 – 7.11 – 7.30 – 7.31 – 7.40 – 7.50 – 7.51 – 7.52 – 7.53 – 2.0 – 2011_1_710 – 2011_1_730 – 2011_1_731 – dmis 2011_1_700 – dmis_2011_1_700 – 7.10 – 7.20 – 7.30 – 7.31 – 7.40 – 7.5 – 3.0 – 720 – sap_basis 700 – sap_basis 701 – sap_basis 702 – sap_basis 731 – sap_basis 740 – <10.1.34 – <11.0.2 – =10.1.0 milestone1|=11.0.0 milestone1|=9.0.0 milestone1|<=9.0.97 – 10.1.0 – 10.1.1 – 10.1.10 – 10.1.11 – 10.1.12 – 10.1.13 – 10.1.14 – 10.1.15 – 10.1.16 – 10.1.17 – 10.1.18 – 10.1.19 – 10.1.2 – 10.1.20 – 10.1.21 – 10.1.22 – 10.1.23 – 103 – 104 – 105 – 106 – 107 – 108 – s4core102 – 2011_1_710 – 2011_1_730 – 2011_1_731 – dmis2011_1_700 – lm-sld 7.5 – 3.0 – 3.00 – 1.0 – 2.0 – 3.0
Oplossingen

Oplossingen

SAP heeft patches uitgebracht om de kwetsbaarheden in de genoemde producten te verhelpen. Zie bijgevoegde referenties voor meer informatie. []
CVE’s

CVE’s

, , , , , , , , , , , , , , , , ,

  Versie 1.00 vandaag NCSC-2025-0119  
 


medium


high

 
vandaag


medium


high

 NCSC-2025-0119 [1.00]
,

(),

Vrijwaringsverklaring

Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend.
Het NCSC en de Staat zijn niet aansprakelijk voor enige schade
ten gevolge van het gebruik of de onmogelijkheid van het gebruik
van dit beveiligingsadvies, waaronder begrepen schade ten gevolge
van de onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies.
Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle
geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies
zullen worden voorgelegd aan de exclusief bevoegde rechter te Den
Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in
kort geding.

Plaats een reactie