Schwachstellen in SAPs Business-Connector
SAPs Business-Connector enthält Schwachstellen, durch die Angreifer über das Netz beliebige Dateien auf betroffenen Systemen lesen und löschen könnten oder die Phishing-Attacken ermöglichen.
Der Sicherheitsdienstleister Cybsec hat zwei Schwachstellen in der Middleware-Komponente SAP Business-Connector entdeckt, durch die Angreifer über das Netz beliebige Dateien auf betroffenen Systemen lesen und löschen könnten. Der Business-Connector dient dazu, externen Unternehmen Zugriff auf die Daten der SAP-Systeme zu gewähren und lauscht dazu im Netz.
Details zu den Lücken nennt Cybsec noch nicht, will diese aber im Rahmen einer Responsible Disclosure in drei Monaten nachliefern. Die erste Lücke ist dennoch besorgniserregend, da der Business-Connector standardmäßig als root auf Linux-Systemen und im Administrator-Kontext auf Windows-Servern läuft und somit sämtliche Dateien auf den Systemen auf dem Spiel stehen.
Die zweite Lücke ermöglicht es Angreifern, Administratoren Daten abzuphishen, indem diese etwa über E-Mails dazu gebracht werden, einem präparierten Link zu folgen. In die sich öffnende Webseite kann der Angreifer eigene Frames einschmuggeln, es scheint sich daher um eine Cross-Site-Scripting-Schwachstelle zu handeln.
Betroffen von der ersten Lücke sind der Business-Connector 4.6 und 4.7, der zweite Fehler ist im Business-Connector Core Fix 7 und früheren enthalten. SAP stellt seinen Kunden Updates für die Schwachstellen zur Verfügung, die über die üblichen Kanäle zu erhalten sind.
Siehe dazu auch: (dmk)
- Arbitrary File Read or Delete in SAP BC von Cybsec (PDF)
- Phishing Vector in SAP BC von Cybsec (PDF)
