SAP-Patchday: Lücke mit Höchstwertung in CA Introscope Enterprise Manager gefixt

Wie gewohnt hat auch Software-Hersteller SAP zum monatlichen Patchday eine Übersicht über aktuelle Sicherheitsupdates veröffentlicht. Einer der beseitigten Sicherheitslücken wurde der höchstmögliche CVSS-Score 10.0 (kritisch) zugewiesen. Sieben Lücken wurden mit "High", eine Reihe weiterer mit "Medium" und in einem Fall mit "Low" bewertet. Hohe bis kritische Einstufungen entfielen auf die Produkte CA Introscope Enterprise Manager, auf mehrere Komponenten von NetWeaver, auf Business Objects BI sowie auf SAP Landscape Management.

Enterprise Manager zweifach betroffen

Die kritische Lücke CVE-2020-6364 betrifft den CA Introscope Enterprise Manager, genauer: die Komponenten SAP Solution Manager and SAP Focused Run. Offenbar bietet sie potenziellen Angreifern die Möglichkeit, Befehle zu injizieren und zur Ausführung zu bringen (Command Injection). Ein weiteres Sicherheitsrisiko im Enterprise Manager ging offenbar von hardgecodeten, also fest im Code hinterlegten, Zugangsdaten aus (CVE-2020-6369, Einstufung "High"/CVSS-Score 7.5).

Die "High"-Lücken in anderen SAP-Produkten bieten unter anderem Ansatzpunkte für Cross-Site-Scripting, die Ausweitung von Rechten und den unbefugten Zugriff auf Informationen.

Weitere Informationen und Updates

Weitere Informationen zu den Sicherheitslücken und den jeweils betroffenen Software-Versionen können Anwender SAPs Übersicht zum Security Patch Day – October 2020 entnehmen. Leider spart der Hersteller mit Details zu Angriffsmöglichkeiten und daraus resultierenden Gefahren.

Registrierte SAP-Kunden finden im passwortgeschützten Supportbereich Update- und weitere Informationen in Form von Security Notes zu den einzelnen Sicherheitslücken, die der Hersteller in der Übersicht verlinkt hat.

Weitere Meldungen zum Oktober-Patchday finden Sie unter anderem hier:

• Updates von Microsoft beugen Angriffen aus der Ferne vor
• Adobe aktualisiert Flash Player vor Supportende

(ovw)