SAP 2023年的第一个安全更新解决了关键漏洞
发布时间：2023-05-30 10:52:50 所属栏目：安全 来源：
导读：作为 2023年1月“安全补丁日”的一部分, SAP本周发布了 12个新的和更新的安全说明,其中包括解决严重漏洞的“热点新闻”说明7条。
被评为“热点新闻”的安全说明中有四个是SAP 书中
被评为“热点新闻”的安全说明中有四个是SAP 书中
|
作为 2023年1月“安全补丁日”的一部分, SAP本周发布了 12个新的和更新的安全说明,其中包括解决严重漏洞的“热点新闻”说明7条。 被评为“热点新闻”的安全说明中有四个是SAP 书中严重程度最高的安全说明，它们是解决 Business Planning and Consolidation MS、BusinessObjects 和 NetWeaver 中漏洞的新说明，而其余三个是对 2022 年 11 月和 2022 年 12 月发布的说明的更新. 最严重的说明解决了 Business Planning and Consolidation MS 中的 SQL 注入错误（CVE-2023-0016，CVSS 得分为 9.9），以及 BusinessObjects 商业智能平台中的代码注入缺陷（CVE-2023-0022，CVSS 9.9 分）。 根据企业安全公司 Onapsis 的说法，这些问题中的第一个可以被利用来在易受攻击的应用程序中执行精心设计的数据库查询，从而允许攻击者读取、修改或删除任意数据。 可以通过网络利用代码注入漏洞，从而影响应用程序的机密性、完整性和可用性。 “该说明包含针对无法立即提供此补丁的客户的补丁和解决方法。但是，此解决方法只能用作临时解决方案，因为它会删除、停止或禁用受影响的服务，” Onapsis 解释道。 其于新的“热点新闻”说明解决了 NetWeaver AS for Java 中的不当访问控制错误（CVE-2023-0017，CVSS 评分为 9.4）以及 NetWeaver AS for ABAP 和 ABAP 平台中的捕获重放漏洞（CVE-2023 -0014，CVSS 得分为9.0）。 通过安全性的利用解决了第一个问题，未经服务器身份验证的攻击者可以访问和修改服务器的用户数据并使系统提供的服务转变为不可用。 捕获重放错误影响受信任的 RFC 和 HTTP 通信的架构，允许攻击者获得对 SAP 系统的未授权访问。 Onapsis 表示，缓解该漏洞可能具有挑战性，因为它涉及应用“内核补丁、ABAP 补丁以及所有受信任的 RFC 和 HTTP 目标的手动迁移”。 SAP 还更新了三个“热点新闻”说明，解决了 BusinessObjects 中不受信任的数据缺陷的不安全序列化 (CVE-2022-41203) 和 NetWeaver 中的两个不当访问控制问题（CVE-2022-4127 和 CVE-2022-41271）。 在 SAP 的 1 月安全补丁日发布的其余五份说明解决了 Host Agent (Windows)、NetWeaver、BusinessObjects 和银行账户管理（管理银行）中的中等严重漏洞。一旦确定了所需的最小值，就可以使用这些参数来计算最终的结果。 （编辑：聊城站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
站长推荐
