SAP Müşteri Deneyimi (CX) ticaret bulutunda ve SAP Netweaver Uygulamasında CSS enjeksiyonu, dosya yükleme ve uzaktan kod yürütmeyle ilişkili üç güvenlik açığı keşfedildi.
Bu iki güvenlik açığına CVE-2019-17495 ve CVE-2022-36364 atanmıştır.
Bu güvenlik açıklarının ciddiyeti sırasıyla CVE-2019-17495 – 9,8 (Kritik) ve CVE-2022-36364 8,8 (Yüksek) şeklindedir.
CVE-2019-17495, Swagger UI kitaplığında mevcuttur ve CVE-2022-36364, SAP Commerce Cloud’da kullanılan Apache Calcite Avatica kitaplığında mevcuttur.
Ücretsiz Web Semineri Canlı API Saldırı Simülasyonu: Yerinizi Ayırın | API’lerinizi bilgisayar korsanlarından korumaya başlayın
Ancak SAP Netweaver uygulama sunucusu ABAP ve ABAP (Gelişmiş İş Uygulama Programlama) platformunda CVE-2024-33006 Dosya yükleme güvenlik açığı bulunmaktadır.
Bu güvenlik açığının önem derecesi 9,8 (Kritik) olarak verilmiştir.
Bu güvenlik açıklarının tümü, SAP tarafından Mayıs 2024’e yönelik HotNews güncellemesinin bir parçası olarak yamandı.
Güvenlik Açığı Analizi
CVE-2019-17495: Swagger Kullanıcı Arayüzünde Basamaklı Stil Sayfaları (CSS) Ekleme Güvenlik Açığı
Swagger kullanıcı arayüzünde bulunan bu güvenlik açığı, Göreli Yol Üzerine Yazma (RPO) tekniğinin kullanılmasına izin veren bir tehdit aktörü tarafından istismar edilebilir.
Bu da CSRF belirteç değerinin sızdırılması gibi CSS tabanlı giriş alanı değeri sızdırma işlemini gerçekleştirmelerine olanak tanır.
Daha ayrıntılı açıklamak gerekirse Swagger UI, uzak sunuculardan güvenilmeyen JSON verilerinin yerleştirilmesine kasıtlı olarak izin verir.
Ancak daha önce böyle olduğu bilinmiyordu