{"id":1041,"date":"2024-05-14T11:58:23","date_gmt":"2024-05-14T08:58:23","guid":{"rendered":"https:\/\/techltx.com\/de\/?p=1041"},"modified":"2024-05-19T13:39:40","modified_gmt":"2024-05-19T10:39:40","slug":"sap-security-patchday-mai-2024-sap-basis-cx","status":"publish","type":"post","link":"https:\/\/techltx.com\/de\/sap\/sap-security-patchday-mai-2024-sap-basis-cx\/2024\/05\/","title":{"rendered":"SAP Security Patchday Mai 2024 | Customer Experience (CX) SAP_BASIS NetWeaver Application Server ABAP"},"content":{"rendered":"\n
\n
\n

Liebe Leserinnen und Leser,<\/p>\n

dieser Beitrag informiert \u00fcber Sicherheitshinweise, die Schwachstellen in SAP-Produkten beheben. SAP empfiehlt dringend, dass Kunden diese Patches vorrangig anwenden, um ihre SAP-Landschaft zu sch\u00fctzen.<\/p>\n

Am 14. Mai 2024 wurden am SAP Security Patch Day 14 neue Sicherheitshinweise ver\u00f6ffentlicht. Dar\u00fcber hinaus gab es 3 Aktualisierungen zu bereits ver\u00f6ffentlichten Sicherheitshinweisen.<\/p>\n<\/div>\n\n\n\n

\n
\"SAP<\/a><\/figure>\n<\/div>\n<\/div>\n\n\n\n

SAP Note <\/strong> 3455438<\/a> SAP f\u00fcr Customer Experience (CX) with 9.8 CVSS<\/strong><\/h2>\n\n\n\n

HotNews: Diese SAP-Sicherheitsmitteilung behandelt zwei identifizierte Schwachstellen in CX Commerce. Die Details der Schwachstellen und ihre relevanten CVE-Informationen sind unten aufgef\u00fchrt: <\/p>\n\n\n\n

CSS Injection Schwachstelle<\/h4>\n\n\n\n

SAP CX Commerce verwendet Swagger UI, das anf\u00e4llig f\u00fcr CVE-2019-17495 (CSS Injection) ist. Diese Schwachstelle erm\u00f6glicht es Angreifern, die Relative Path Overwrite (RPO)-Technik in CSS-basierten Eingabefeldern durchzuf\u00fchren, was hohe Risiken f\u00fcr die Vertraulichkeit, Integrit\u00e4t und Verf\u00fcgbarkeit der Anwendung darstellt.<\/p>\n\n\n\n

Remote Code Execution<\/h4>\n\n\n\n

Aufgrund unsachgem\u00e4\u00dfer Initialisierung ist SAP CX Commerce, das Apache Calcite Avatica 1.18.0 verwendet, anf\u00e4llig f\u00fcr CVE-2022-36364 (Remote Code Execution). Der JDBC-Treiber von Apache Calcite Avatica erstellt HTTP-Client-Instanzen basierend auf Klassennamen, die \u00fcber die httpclient_impl<\/code>-Verbindungseigenschaft bereitgestellt werden. Der Treiber \u00fcberpr\u00fcft jedoch nicht, ob die Klasse die erwartete Schnittstelle implementiert, bevor sie instanziiert wird, was zur Ausf\u00fchrung von Code \u00fcber beliebige Klassen und in seltenen F\u00e4llen zur Remote-Code-Ausf\u00fchrung f\u00fchren kann.<\/p>\n\n\n\n

CX Commerce 2205.18 ist betroffen durch die Nutzung von Swagger UI-Versionen vor 3.23.11 und Apache Calcite Avatica vor 1.22.0. Die Abh\u00e4ngigkeit von swagger-ui 3.20.1 wurde transitiv von wiremock-standalone-2.23.2 eingebracht und innerhalb von ‚odata2webservicesfeaturetests‘ verwendet. Die Abh\u00e4ngigkeit von avatica-core wurde transitiv von Solr eingebracht. <\/p>\n\n\n\n