SAP 修复五个高危漏洞，请尽快安装更新
Bleeping Computer 网站披露，软件供应商 SAP 发布了 19 个漏洞的安全更新，其中 5 个被评为高危漏洞。 此次修复的安全漏洞影响多款 SAP 产品，其中高危漏洞主要影响 SAP Business Objects Business Intelligence Platform（CMC）和 SAP NetWeaver。 此次修复的五个高危漏洞如下： CVE-2023-25616: SAP Business Intelligence Platform 中存在的高危（CVSS v3:9.9）代码注入漏洞，允许攻击者访问仅对特权用户开放的资源，影响版本 420 和 430。 CVE-2023-23857：严重程度（CVSS v3:9.8）的信息泄露、数据操纵和 DoS 漏洞，影响 SAP NetWeaver AS for Java 7.50 。该漏洞允许未经身份验证的攻击者连接到开放接口并通过目录 API 访问服务来执行未经授权的操作。 CVE-2023-27269：影响 SAP NetWeaver Application Server for ABAP 的严重性（CVSS v3:9.6）目录遍历漏洞。该漏洞允许非管理员用户覆盖系统文件，影响版本 700、701、702、731、740、750、751、752、753、754、755、756、757 和 791。 CVE-2023-27500：APRSBRO 中的目录遍历漏洞，允许具有非管理权限的攻击者利用该漏洞重写系统文件。在这种攻击中，无法读取任何数据，但可能会过度写入关键 OS 文件，从而导致系统不可用。 CVE-2023-25617: SAP Business Objects Business Intelligence Platform 版本 420 和 430 中存在严重性（CVSS v3:9.0）命令执行漏洞。该漏洞允许远程攻击者在特定条件下使用 BI Launchpad、中央管理控制台或基于公共 java SDK 的自定义应用程序在操作系统上执行任意命令。 除上述之外，SAP 还修复了其它四个高严重性漏洞以及十个中等严重性漏洞。 SAP 漏洞影响广泛 SAP 是世界上最大的 ERP 供应商，在 180 个国家拥有 42.5 万客户，占全球市场份额的 24%。超过 90% 的《福布斯全球 2000 强》使用其 ERP、SCM、PLM 和 CRM 产品。因此，其产品中存在的安全漏洞是威胁攻击者的绝佳目标，可以作为侵入企业系统的入口。 早在 2022 年 2 月，美国网络安全和基础设施安全局（CISA）就敦促其管理员修补一组影响 SAP 业务应用程序的严重漏洞，以防止数据被盗、勒索软件攻击以及任务关键流程和操作中断。 转自 Freebuf，原文链接：https://www.freebuf.com/articles/360507.html 封面来源于网络，如有侵权请联系删除
Sap 发布本月安全补丁，解决十年漏洞问题
外媒 3 月 14 日消息，Sap 本周发布了其 3 月份的一组安全补丁，以解决产品中不同层级的漏洞问题，其中包括一些已经存在了十多年的安全缺陷。 SAP 发布的 27 个安全说明中，有 6 个具有高优先级，19 个被评为中等优先级，并且其中有 4 个是以前发布过的安全说明的更新。 本月处理的最常见的漏洞类型是缺少授权检查（占 6 个），其次是信息披露（5 个），跨站点脚本（4 个）。除此之外，SAP 还解决了 3 个 SQL 注入错误、2 个目录遍历问题、2 个实施漏洞以及拒绝服务、硬编码证书、XML 外部实体、代码注入和点击劫持错误等缺陷。 SAP 本月最厉害的安全说明解决了 SAP 网络图形服务器（IGS）中具有高优先级评级的三个漏洞（CVSS 基础评分：8.8），其中包括：CVE-2004-1308（内存损坏）、CVE-2005-2974（拒绝服务）和 CVE-2005-3350（远程代码执行）。这些漏洞已经存在十多年，影响 libtiff、giflib 、libpng 等处理图像（分别为 TIFF、GIF 和 PNG ）的第三方开源库。 不仅如此，SAP 还处理了两个高风险的信息披露漏洞，分别是影响 SAP HANA 捕获和重放跟踪文件（CVE-2018-2402 – CVSS 基本评分：7.6）、SAP 业务流程自动化( BPA ) (CVE – 20182400 – CVSS 基础评分：7.5 )的漏洞问题。 消息来源：securityweek，编译：榆榆，校审：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。
消息称 SAP / McAfee /赛门铁克正让俄罗斯监管机构审查产品源代码
据路透社报道，安全软件制造商让俄罗斯政府在其产品中寻找漏洞。这是美国使用该软件的机构所关心的问题。据路透社报道，俄罗斯被允许挖掘美国政府使用的软件漏洞。路透社周四报道，SAP，赛门铁克和迈克菲都向全球客户销售业务和安全软件，这让俄罗斯当局能够审查他们的代码。 这是一个令人担忧的问题，因为美国政府机构也使用该软件，美国立法者和安全专家告诉路透社，俄罗斯知道的任何漏洞都会带来安全风险。 路透社说，为了这些公司在俄罗斯运营，他们不得不允许地方当局查看这些代码。但是路透社没有发现俄罗斯政府审查源代码在网络攻击中起作用的任何例子。不过外界认为，俄罗斯政府影响了 2016 年美国总统选举结果，美国很容易受到网络攻击影响。SAP、Symantec 和 McAfee 官方目前没有对路透社的报道发表评论。 稿源：cnBeta，封面源自网络；
SAP 发布安全漏洞报告：修复影响 5000 亿次安装的 SAP POS 漏洞
全球知名企业资源管理公司 SAP 于 7 月 11 日发布 “ SAP Security Notes ” 安全漏洞报告，包含 23 款安全补丁程序，其中最为严重的 SAP POS 漏洞，或将影响约 5000 亿次用户安装。 安全公司 ERPScan 专家在 SAP POS Suite 服务器终端发现多处缺失授权检查漏洞，允许未经身份验证的攻击者远程访问目标系统，读取/删除/输入敏感信息、关闭易受攻击的应用程序与监控 POS 收据窗口内容。此外，ERPScan 专家团队针对 SAP 漏洞发布一份详细说明： ○ SAP PoS 中存在多处缺失授权检查漏洞（CVSS 基准分：8.1）：攻击者无需任何授权即可利用漏洞访问服务系统，从而窃取信息、升级特权或开展其他攻击活动。 ○ SAP Host Agent 中存在缺失授权检查漏洞（CVSS 基准分：7.5）：攻击者无需任何授权即可利用漏洞访问目标服务系统。 ○ SAP CRM 互联网出售管理控制平台存在多处跨站点脚本与跨站伪造请求漏洞（CVSS 基准分：6.1）：攻击者可以利用跨站脚本漏洞将恶意脚本注入页面，访问 Cookie、会话令牌与其他关键信息，以及存储与 Web 应用程序的交互。此外，未经授权的攻击者不仅可以利用 XSS 漏洞修改显示内容，还可利用用户会话通过跨站点伪造请求漏洞提出包含特定 URL 与特定参数的请求，以便执行权限功能。 ○ SAP Governance 中存在风险与合规访问控制（GRC）代码注入漏洞（CVSS 基准分：6.5）。 ○ SAP BI Promotion Management 应用程序具有 XML 外部实体漏洞（CVSS 基准分： 6.1）。 ○ SAP Business Objects Titan 具有 XML 外部实体漏洞（CVSS 基准分： 5.4）。 目前，ERPScan 并未公布任何技术细节，以避免网络犯罪分子利用漏洞展开攻击活动。安全专家强烈建议 SAP 客户尽快安装修补程序。 原作者：Pierluigi Paganini，译者：青楚 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接
SAP 修复云商务平台 HANA 系统关键漏洞
据外媒报道，全世界排名第一的 ERP 软件公司 SAP 于近日修补了云商务平台 HANA 中的关键漏洞。 此前研究人员表明：SAP 修复的 27 个漏洞中，存在两个关键漏洞。其中一个是：攻击者在不需要经过任何验证的同时，就可以利用漏洞通过 HANA 的用户自助服务元件入侵整个系统；另一个则是：允许攻击者通过假冒系统中的高级用户来提升特权，从而窃取或删除敏感资料。 SAP HANA 是一个内存数据库，其中管理系统主要用于存储、检索和处理核心业务数据。所以，在过去一年中也吸引了越来越多的黑客人员对其进行攻击。 这批漏洞是由安全公司 Onapsis Research Labs 发现，并于今年 1 月通报 SAP ，随即展开修补。据 Onapsis 的研究人员表示，一些漏洞在两年半前的组件发布时就已经存在。但这些漏洞却迟迟未被察觉，直到去年 11 月发布的 HANA 2 中才被发现。目前，美国国土安全部小组（US-CERT）提醒用户，及时的更新系统。运行老旧的系统或不当的配置都会影响 SAP 业务系统的安全性，大大增加数据丢失的风险。 原作者： Chris Brook，译者：青楚 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接