SAP, Haziran yama gününde on dokuz güvenlik yaması yayınladı ve saldırganların yetkilendirme kontrollerini atlamasına ve birden fazla işletme sisteminde ayrıcalıkları artırmasına izin verebilecek kritik güvenlik açıklarını ele aldı.
Güncelleme, etkilenen SAP ortamlarını çalıştıran kuruluşlar için derhal bir işlem yaparak iki HotNews notu ve yedi yüksek öncelikli not içerir.
CVSS skoru 9.6 ile SAP Güvenlik Notu #3600840 olarak izlenen en şiddetli güvenlik açığı, ABAP olarak SAP NetWeaver Uygulama Sunucusundaki Uzaktan İşlev Çağrısı (RFC) çerçevesini etkiler.
.png
)
Bu kritik eksik yetkilendirme kontrol güvenlik açığı, kimlik doğrulamalı saldırganların işlemsel (TRFC) veya kuyruklu RFC’leri (QRFC) kullanırken S_RFC yetkilendirme nesnesindeki standart yetkilendirme kontrollerini atlamalarını sağlar.
Belirli koşullar altında, saldırganlar, hem uygulama bütünlüğünü hem de kullanılabilirliği eleştirel olarak etkileyen ayrıcalık artışı elde etmek için bu güvenlik açığından yararlanabilir.
Güvenlik açığı, SAP’nin bazı kullanıcılar için ek S_RFC izinleri gerektirebileceğine dair uyarı ile anında çekirdek güncellemeleri gerektirir.
Kuruluşlar, etkilenen kullanıcıları tanımlayabilir ve RFC/AuthCheckInplayback profil parametresini SSS SAP Note #3601919’da detaylandırıldığı gibi 1 olarak ayarlayarak ek yetkilendirme kontrolünü etkinleştirebilir.
SAP NetWeaver Güvenlik Açığı
Birkaç yüksek öncelikli güvenlik açıkları, SAP’nin iş başvurusu portföyünde derhal ilgi gerektirir.
CVSS ölçeğinde 8.8 olarak derecelendirilen SAP Security Note #3609271, SAP GRC’de düşük ayrıcalıklı kullanıcıların iletilen sistem kimlik bilgilerini değiştirebilen veya kontrol edebilen işlemleri başlatmasına izin veren bir güvenlik açığını ele alıyor.
CVSS skoru 8.5 ile SAP Security Not #3606484 kapsamındaki bir başka önemli güvenlik açığı, SAP Business Deposu ve SAP eklentisinde eksik bir yetkilendirme kontrolünü içerir.
Bu güvenlik açığı, uygun yetkilendirme doğrulaması olmadan uzaktan özellikli bir işlev modülü aracılığıyla veritabanı tablolarının yetkisiz olarak silinmesini sağlar.
Siteler arası komut dosyası güvenlik açıkları da bu sürümde belirgin bir şekilde yer almaktadır.
SAP Security Not #3560693, SAP BusinessObjects iş zekası BI çalışma alanında bir XSS güvenlik açığı 8.2 CVSS puanı ile, burada yetersiz girdi sterilizasyonunun, kimlik doğrulanmamış saldırganların mağdurların tarayıcılarında yürütülen kötü niyetli komut dosyaları enjekte etmesine izin veriyor.
Kapsamlı yama sürümü
Onapsis araştırma laboratuvarları, bu sürümde iki SAP güvenlik notunun kapsadığı dört güvenlik açıkının belirlenmesinde ve iyileştirilmesinde önemli bir rol oynamıştır.
Katkıları, SAP Master Data Management Server’da SAP Master Veri Yönetimi Sunucusunda, SAP Güvenlik Notu #3610006 tarafından CVSS puanı 7.5’lik bir şekilde ele alınmasıdır.
Bu güvenlik açıkları, özel olarak hazırlanmış paketler aracılığıyla bellek okuma erişim ihlallerini tetikleyebilecek, potansiyel olarak sunucu işlemi arızalarına neden olan ve uygulama kullanılabilirliğini etkileyebilecek iki bellek bozulması güvenlik açığı içerir.
Araştırma ayrıca, saldırganların yeniden kimlik doğrulaması yapmadan mevcut müşteri oturumlarının kontrolünü ele geçirmesini sağlayan güvensiz bir oturum yönetimi güvenlik açığı belirledi.
Ayrıca, araştırma ekibi, SAP NetWeaver’da ABAP’nin anahtar kelime belgeleri olarak, SAP Security Not #3590887 tarafından CVSS skoru 5.8 ile ele alınan bir yerler arası komut dosyası kırılmasına katkıda bulundu.
Bu güvenlik açığı, yetersiz URL isteği doğrulamasından kaynaklandı ve kimlik doğrulanmamış saldırganların korunmasız parametreler aracılığıyla kötü niyetli JavaScript enjekte etmesini sağladı.
Kuruluşlar, SAP ortamlarında güvenlik duruşunu korumak için bu yamaların hemen uygulanmasına öncelik vermelidir.
Bu hikayeyi ilginç bul! Daha fazla güncelleme almak için bizi LinkedIn ve X’te takip edin.