SK-CERT Bezpečnostné varovanie V20230413-01
| Dôležitosť | Kritická |
| Klasifikácia | Neutajované/TLP WHITE |
| CVSS Skóre |
10.0 |
| Identifikátor |
| SAP – viacero kritických bezpečnostných zraniteľností |
| Popis |
| Spoločnosť SAP vydala bezpečnostné aktualizácie na svoje portfólio produktov, ktoré opravujú viacero kritických bezpečnostných zraniteľností. Najzávažnejšia kritická bezpečnostná zraniteľnosť sa nachádza v produkte Sap Diagnostics Agent, spočíva v nedostatočnej implementácii mechanizmov autentifikácie a nedostatočnej kontrole používateľských vstupov a umožňuje vzdialenému, neautentifikovanému útočníkovi vykonať škodlivý kód s následkom úplného narušenia dôvernosti, integrity a dostupnosti systému. Ostatné zraniteľnosti by útočník mohol zneužiť na získanie neoprávneného prístupu do systému, neoprávneného prístupu k citlivým údajom, zneprístupnenie služby alebo vykonanie škodlivého kódu. |
| Dátum prvého zverejnenia varovania |
| 11.04.2023 |
| CVE |
| CVE-2020-13936, CVE-2021-33683, CVE-2022-41272, CVE-2023-1903, CVE-2023-24527, CVE-2023-24528, CVE-2023-26458, CVE-2023-27267, CVE-2023-27269, CVE-2023-27497, CVE-2023-27499, CVE-2023-27897, CVE-2023-28761, CVE-2023-28763, CVE-2023-28765, CVE-2023-29108, CVE-2023-29109, CVE-2023-29110, CVE-2023-29111, CVE-2023-29112, CVE-2023-29185, CVE-2023-29186, CVE-2023-29187, CVE-2023-29189 |
| IOC |
| – |
| Zasiahnuté systémy |
| SAP Diagnostics Agent SAP Business Client SAP NetWeaver Process Integration SAP BusinessObjects Business Intelligence Platform SAP NetWeaver Application Server for ABAP and ABAP Platform SAP NetWeaver (BI CONT ADDON) SAP NetWeaver AS Java for Deploy Service SAP NetWeaver AS for ABAP (Business Server Pages) SAP Landscape Management SapSetup (Software Installation Program) SAP NetWeaver Enterprise Portal SAP Fiori apps 1.0 for travel management in SAP ERP SAP GUI for HTML SAP CRM SAP CRM (WebClient UI) SAP Web Dispatcher and Internet Communication Manager SAP Commerce SAP Application Interface Framework (Log Message View of Message Dashboard) SAP HCM Fiori App My Forms (Fiori 2.0), SAP Application Interface Framework (Custom Hint of Message Dashboard Application SAP Application Interface Framework (Message Monitoring and Message Monitoring for Administrators Application SAP Application Interface Framework (ODATA service) ABAP Platform and SAP Web Dispatcher Presnú špecifikáciu jednotlivých zasiahnutých produktov nájdete na odkaze v sekcii ZDROJE |
| Následky |
| Vykonanie škodlivého kódu a úplné narušenie dôvernosti, integrity a dostupnosti systému Neoprávnený prístup do systému Neoprávnený prístup k citlivým údajom Zneprístupnenie služby Eskalácia privilégií |
| Odporúčania |
| Administrátorom odporúčame bezodkladne vykonať aktualizáciu zasiahnutých systémov. Po odstránení zraniteľností, ktoré mohli spôsobiť vzdialené vykonanie kódu, je dobrou praxou kontrola systému a zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč. |
| Zdroje |
| https://www.sap.com/documents/2022/02/fa865ea4-167e-0010-bca6-c68f7e60039b.html https://nvd.nist.gov/vuln/detail/CVE-2023-27497 |
« Späť na zoznam
