首页 云计算

云安全日报201013:SAP厂商发现系统命令注入高危漏洞,需要尽快升级

10月13日,SAP安全补丁日发布了15个安全更新说明。根据安全公告显示,SAP产品中发现了多个高危漏洞,其中包括一个CVSS评分为10.0(满分为10.0)的系统命令注入高危漏洞,需要尽快升级。以下是漏洞详情:

漏洞详情

1.CVEID:CVE-2020-6364 CVSS评分: 10.0 危急

SAP Solution Manager 是SAP公司一套集系统监控,SAP支持桌面,自助服务,ASAP实施等多个功能为一体的系统管理平台。CA Introscope Enterprise Manager是SAP系统管理平台企业管理器。SAP Focused Run是SAP公司提供的数据中心和大客户系统运维管理方案(高容量监控,警报,诊断和分析的终极解决方案)。

CA Introscope Enterprise Manager中存在系统命令注入漏洞,攻击者可获取直接运行系统命令的能力。

受影响的产品:SAP Solution Manager(CA Introscope Enterprise Manager)和SAP Focused Run(CA Introscope Enterprise Manager),版本-WILY_INTRO_ENTERPRISE 9.7、10.1、10.5、10.7

2.CVEID:CVE-2020-6228 CVSS评分:9.8 高危

SAP Business Client是SAP公司的一款用户管理界面。该产品为不同的SAP业务应用程序提供管理接口,用于管理SAP产品。SAP Business Client 6.5,7.0版本中存在安全漏洞,不执行必要的完整性检查。在某些情况下攻击者可能会利用该完整性检查来修改安装程序,访问被限制的信息。

受影响的产品:SAP Business Client 6.5,7.0版本

3.CVEID:CVE-2020-6296 CVSS评分:8.3 高危

SAP NetWeaver 是SAP公司基于专业标准的集成化应用平台,能够大幅度降低系统整合的复杂性。其组件包括门户、应用服务器、商务智能解决方案以及系统整合和数据整合技术。

ABAP是高级业务应用程序编程,4GL(第4代)语言。 目前,它与Java一起被定位为SAP应用服务器编程的主要语言。

SAP NetWeaver(ABAP Server)和ABAP平台存在代码注入漏洞。SAP NetWeaver(ABAP Server)和ABAP平台版本-700、701、702、710、711、730、731、740、750、751、753、755,允许攻击者注入可以由应用程序执行的代码,导致代码注入。因此,攻击者可以控制应用程序的行为。

受影响的产品:SAP NetWeaver(ABAP Server)和ABAP平台版本700、701、702、710、711、730、731、740、750、751、753、755

4.CVEID:CVE-2020-6367 CVSS评分:8.2 高危

SAP NetWeaver复合应用程序 框架产品中存在跨站点脚本(XSS)漏洞。

受影响的产品:SAP NetWeaver复合应用程序框架,版本-7.20、7.30、7.31、7.40、7.50

5.CVEID:CVE-2020-6366 CVSS评分:7.6 高

SAP NetWeaver产品-SAP NetWeaver(Compare Systems)缺少XML验证 ,容易被攻击者发起XML注入攻击。

受影响的产品:SAP NetWeaver(Compare Systems)版本7.20、7.30、7.31、7.40、7.50

解决方案

SAP产品安全响应团队修复了SAP产品中发现的漏洞。SAP强烈建议客户访问Support Portal(支持门户)并优先应用补丁程序以保护其SAP环境。Support Portal官网地址:

https://support.sap.com/en/my-support/knowledge-base/security-notes-news.html#section_370125364

查看更多漏洞信息 以及升级请访问官网:

https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=558632196

官方微博/微信

每日头条、业界资讯、热点资讯、八卦爆料,全天跟踪微博播报。各种爆料、内幕、花边、资讯一网打尽。百万互联网粉丝互动参与,TechWeb官方微博期待您的关注。

↑扫描二维码

想在手机上看科技资讯和科技八卦吗?

想第一时间看独家爆料和深度报道吗?

请关注TechWeb官方微信公众帐号:

1.用手机扫左侧二维码;

2.在添加朋友里,搜索关注TechWeb。

手机游戏更多