Sicherheitslücken in SAP Netweaver und Communication Framework Gefahr durch Cross-Site-Scripting in SAP-Produkten

Das Schweizer Unternehmen für IT-Sicherheitsprüfungen Compass Security hat bekanntgegeben, dass SAP einige Sicherheitslücken im Internet Communication Framework und im SAP Web Dynpro Java geschlossen hat. Für registrierte Anwender stehen entsprechende Patches bereit.

Anbieter zum Thema

Aagon GmbH

Vogel IT-Medien GmbH

Onapsis Europe GmbH

Die Schwachstelle im Internet Communication Framework betrifft die Fehlerseite, die nach einem gescheiterten Anmeldeversuch ausgegeben wird. Trotz der Fehlermeldung bleiben dabei Benutzereingaben einiger Felder erhalten. Dies kann von Angreifern für eine Cross-Site-Scripting-Attacke (XSS) missbraucht werden. Betroffen sind SAP Basis component 640 SP19 und frühere sowie SAP Basis component 700 SP11 und frühere. Über die SAP Note Nr. 1022102 sind entsprechende Patches erhältlich.

Die zweite Lücke befindet sich in der Netweaver-Anwendung SAP Web Dynpro Java. Läuft das Tool im Test- oder Entwicklungsmodus können Inhalte des User-Agent-Headers mit Hilfe von Javascript oder Flash ebenfalls für eine XSS-Angriff verwendet werden. Der Fehler tritt in den Versionen Nw04 SP15 bis SP 19 und Nw04s SP7 bis SP 11 von SAP Netweaver auf. Patches für Web Dynpro Java sind über die SAP Note Nr. 1045640 und 946608 erhältlich.

(ID:2005769)