Δέκα νέα security notes κυκλοφόρησαν αυτή την εβδομάδα από την SAP, ως μέρος του September 2020 Security Patch Day, καθώς και ενημερώσεις για 6 προηγούμενα security notes.
Δύο από τις ενημερώσεις αντιμετωπίζουν κρίσιμα ελαττώματα στο SAP Marketing – Mobile Channel Servlet (CVE-2020-6320 – ακατάλληλος έλεγχος πρόσβασης) και τα NetWeaver (ABAP Server) και ABAP Platform (CVE-2020-6318 – εισαγωγή κώδικα), τα οποία διαθέτουν βαθμολογίες CVSS 9,6 και 9,1, αντίστοιχα.
Το Mobile Channel Servlet επιτρέπει τη δημιουργία καμπανιών για φορητές συσκευές, στις οποίες οι ειδοποιήσεις push αποστέλλονται σε συσκευές Android και iOS μέσω του Google Firebase. Το κρίσιμο ελάττωμα που αντιμετωπίστηκε αυτήν την εβδομάδα επέτρεπε σε έναν εισβολέα να αποκτά πρόσβαση σε περιορισμένες λειτουργίες.
«Μια εκμετάλλευση της ευπάθειας επιτρέπει σε έναν εισβολέα να εκτελέσει εργασίες που σχετίζονται με δεδομένα επαφής και αλληλεπίδρασης», εξηγεί η Onapsis, μια εταιρεία που ειδικεύεται στην ασφάλεια των εφαρμογών Oracle και SAP.
Το ελάττωμα της εισαγωγής κώδικα στο NetWeaver μπορούσε να επιτρέψει σε έναν εισβολέα να αναλάβει τον πλήρη έλεγχο της εφαρμογής. Έτσι, ο εισβολέας θα μπορούσε να προβάλει, να αλλάξει ή να διαγράψει δεδομένα μέσω κώδικα που έχει εισαχθεί στη μνήμη και να εκτελεστεί από την εφαρμογή, ή θα μπορούσε να προκαλέσει τον τερματισμό της εφαρμογής.
Η SAP έχει επιδιορθώσει κι άλλα δύο ελαττώματα, το ένα εκ των οποίων επιτρέπει έναν έλεγχο εξουσιοδότησης που λείπει στο Solution Manager (CVE-2020-6207, βαθμολογία CVSS 10) και μια άλλη που ασχολείται με ενημερώσεις ασφαλείας για το πρόγραμμα περιήγησης Chromium στο Business Client (βαθμολογία CVSS από 9,8).
Δύο άλλες ενημερωμένες Ασφαλείας ασχολούνται με ευπάθειες υψηλής σοβαρότητας, συγκεκριμένα την εισαγωγή κώδικα στο NetWeaver (ABAP) και την Πλατφόρμα ABAP (CVE-2020-6296) και μια πλαστογράφηση αιτήσεων από διακομιστή στο NetWeaver AS ABAP (CVE-2020-6275) .
Πέντε security notes που κυκλοφόρησαν αυτήν την εβδομάδα, αντιμετωπίζουν ευπάθειες μέτριας σοβαρότητας στα Bank Analyzer και S / 4HANA Financial Products (CVE-2020-6311), Commerce (CVE-2020-6302), NetWeaver AS ABAP (CVE-2020-6324), NetWeaver AS Java (CVE-2020-6326) και Fiori (Launchpad) (CVE-2020-6283).
Δύο άλλες ενημερώσεις, αντιμετωπίζουν πολλές ευπάθειες στο BusinessObjects Business Intelligence Platform (CVE-2020-6325, CVE-2020-6312 και CVE-2020-6288) και το 3D Visual Enterprise Viewer (38 CVEs).
Αυτήν την εβδομάδα, η SAP κυκλοφόρησε επίσης ενημερώσεις για δύο σφάλματα μέτριας σοβαρότητας: το ένα αντιμετωπίζει ευπάθειες cross-site scripting μεταξύ ιστότοπων (XSS) στο τροποποιημένο jQuery που συνδυάζεται με SAPUI5 (CVE-2020-11022, CVE-2020-11023) και ένα άλλο επιδιόρθωση διακομιστή ζητήστε πλαστογραφία στο NetWeaver AS JAVA (CVE-2020-6282).
Η SAP ανακοίνωσε επίσης μια ενημέρωση ασφαλείας χαμηλής σοβαρότητας που διορθώνει μια ευπάθεια αποκάλυψης πληροφοριών στο Adaptive Server Enterprise (CVE-2020-6317).
