Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
SAP Notes
(1527035-4)
SAP Support Packages
(SAPK-30007INFSAPPL, SAPKISC109, SAPKISC215, SAPKISC314, SAPKISCC12)
Описание
Данная уязвимость существует из-за возможности внедрения SQL-кода. В состав кода входит SQL-выражение, содержащее строки, которые могут быть изменены злоумышленником. Сформированное злоумышленником SQL-выражение может быть использовано для получения информации из базы данных.
Как исправить
Импортируйте пакет исправлений, соответствующий вашей версии продукта.
Для реализации расширенного исправления необходимо сначала выполнить определенные действия вручную. После выполнения этих действий можно, при помощи транзакции SNOTE, реализовывать прилагаемые инструкции по исправлению ошибок. В заключение, необходимо выполнить вручную следующие действия.
------------------------------------------------------------------------
|Выполняется предварительно и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО FSAPPL Financial Servi...|
| Версия 100 до SAPKISC214 |
| Версия 200 до SAPKISC313 |
| Версия 300 до SAPK-30006INFSAPPL |
------------------------------------------------------------------------
1. При помощи транзакции SE11 создайте таблицу со следующими атрибутами:
a) Таблица: TBCA_DCA_VALTAB
b) Краткое описание: Разрешенные таблицы для BCA_DCA_DB_GET_ENTRY
c) На вкладке "Delivery and Maintenance" введите следующие значения:
Delivery Class: S
Table View Maint. (обслуживание таблицы): Display/Maintenance Allowed with Restrictions (обслуживание с ограничениями)
d) На вкладке "Fields" введите следующие поля:
Поле Ключ Иниц. Элемент данных
TABLENAME X X TABNAME
e) Сделайте следующие настройки:
Data class (класс данных): APPL2
Size category (категория размера): 0
Buffering (буферизация): Buffering switched on (включена)
Buffering type (тип буферизации): Fully Buffered (полная)
No. of key fields (кол-во ключевых полей): 0
Log data changes (изменение данных журнала): X
f) В меню перейдите к "Extras -> Enhancement Category" и выберите "Cannot Be Enhanced"
g) Сохраните и активируйте таблицу.
Пакет: BCA_DCA_TEST
Более подробную информацию по созданию таблиц см. в бюллетене 618242.
2. Вызовите транзакцию SE11 и создайте следующий ракурс:
a) Ракурс ведения (Maintenance view): V_BCA_DCA_VALTAB
b) Краткое описание: Ракурс ведения для таблицы TBCA_DCA_VALTAB
c) Необходимо настроить следующие атрибуты на вкладке "Table/Join Conditions":
Tables (таблицы): TBCA_DCA_VALTAB
d) Следующие поля должны быть на вкладке "View Flds":
Поле Ключ Иниц. Элемент данных
TABLENAME X X TABNAME
e) Необходимо настроить следующие атрибуты на вкладке "Maint.Status":
Access (доступ): read, change, delete and insert (просмотр, изменение, удаление и вставка)
Delivery Class: S
Table View Maint. (обслуживание таблицы): Display/Maintenance Allowed (обслуживание разрешено)
f) Сохраните и примените внесенные изменения.
Пакет: BCA_DCA_TEST
3. Используйте транзакцию SE54 для создания диалога ведения для ракурса V_BCA_DCA_VALTAB:
a) В поле "Table/View" (таблица/ракурс) введите V_BCA_DCA_VALTAB.
b) В области "Edit Table/View" (редактирование таблицы/ракурса) выберите "Generated objects" (сгенерированные объекты) и нажмите "Create" (создать).
c) Подтвердите в диалоговом окне создание модулей ведения (maintenance modules).
d) На следующем экране "Generate table maintenance dialog: Generation environment" (Генерирование диалога ведения таблиц: среда генерирования) введите следующее:
Authorization Group (авторизационная группа): FA01
Function group (функциональная группа): BCA_DCA_TEST_GD
Package (пакет): BCA_DCA_TEST
Maintenance type (тип ведения): one step (один шаг)
Maint. Screen No. (№ экрана ведения) Overview screen (общий экран): 100
Single screen (отдельный экран): 0
Recording routine (подпрограмма записи): Standard (стандартная)
Compare Flag: Automatically Adjustable (автоматическая настройка)
e) Затем нажмите кнопку с символом "Create" (создать) и сгенерируйте диалог ведения.
f) При помощи транзакции SM30 проверьте наличие в диалоге ведения всех полей ракурса для обработки/отображения.
4. При помощи транзакции SM30 создайте следующие записи для ракурса V_BCA_DCA_VALTAB:
a) Table Name (название таблицы): BAPC_ACTION_LOG
b) Table Name (название таблицы): BAPC_ORDER
c) Table Name (название таблицы): BCA_PAYMITEM
d) Сохраните записи.
------------------------------------------------------------------------
|Выполняется предварительно и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО BANK-TRBK SAP Bank Custom...|
| Версия 30 до SAPKISCC11 |
| Версия 40 до SAPKISC108 |
------------------------------------------------------------------------
1. При помощи транзакции SE11 создайте таблицу со следующими атрибутами:
a) Table (таблица): TBCA_DCA_VALTAB
b) Short Description (краткое описание): Разрешенные таблицы для BCA_DCA_DB_GET_ENTRY
c) На вкладке "Delivery and Maintenance" введите следующие значения:
Delivery Class: S
Table View Maint. (обслуживание таблицы): Display/Maintenance Allowed with Restrictions (обслуживание с ограничениями)
d) На вкладке "Fields" введите следующие поля:
Поле Ключ Иниц. Элемент данных
TABLENAME X X TABNAME
e) Сделайте следующие настройки:
Data class (класс данных): APPL2
Size category (категория размера): 0
Buffering (буферизация): Buffering switched on (включена)
Buffering type (тип буферизации): Fully Buffered (полная)
No. of key fields (кол-во ключевых полей): 0
Log data changes (изменение данных журнала): X
f) В меню перейдите к "Extras -> Enhancement Category" и выберите "Cannot Be Enhanced"
g) Сохраните и активируйте таблицу.
Package (пакет): BCA_DCA_TEST
Более подробную информацию по созданию таблиц см. в бюллетене 618242.
2. Вызовите транзакцию SE11 и создайте следующий ракурс:
a) Ракурс ведения (Maintenance view): V_BCA_DCA_VALTAB
b) Short Description (краткое описание): Ракурс ведения для таблицы TBCA_DCA_VALTAB
c) Необходимо настроить следующие атрибуты на вкладке "Table/Join Conditions":
Tables (таблицы): TBCA_DCA_VALTAB
d) Следующие поля должны быть на вкладке "View Flds":
Поле Ключ Иниц. Элемент данных
TABLENAME X X TABNAME
e) Необходимо настроить следующие атрибуты на вкладке "Maint.Status":
Access (доступ): read, change, delete and insert (просмотр, изменение, удаление и вставка)
Delivery Class: S
Table View Maint. (обслуживание таблицы): Display/Maintenance Allowed (обслуживание разрешено)
f) Сохраните и примените внесенные изменения.
Package (пакет): BCA_DCA_TEST
3. Используйте транзакцию SE54 для создания диалога ведения для ракурса V_BCA_DCA_VALTAB:
a) В поле "Table/View" (таблица/ракурс) введите V_BCA_DCA_VALTAB.
b) В области "Edit Table/View" (редактирование таблицы/ракурса) выберите "Generated objects" (сгенерированные объекты) и нажмите "Create" (создать).
c) Подтвердите в диалоговом окне создание модулей ведения (maintenance modules).
d) На следующем экране "Generate table maintenance dialog: Generation environment" (Генерирование диалога ведения таблиц: среда генерирования) введите следующее:
Authorization Group (авторизационная группа): FA01
Function group (функциональная группа): BCA_DCA_TEST_GD
Package (пакет): BCA_DCA_TEST
Maintenance type (тип ведения): one step (один шаг)
Maint. Screen No. (№ экрана ведения) Overview screen (общий экран): 100
Single screen (отдельный экран): 0
Recording routine (подпрограмма записи): Standard (стандартная)
Compare Flag: Automatically Adjustable (автоматическая настройка)
e) Затем нажмите кнопку с символом "Create" (создать) и сгенерируйте диалог ведения.
f) При помощи транзакции SM30 проверьте наличие в диалоге ведения всех полей ракурса для обработки/отображения.
4. При помощи транзакции SM30 создайте следующие записи для ракурса V_BCA_DCA_VALTAB:
a) Table Name (название таблицы): BAPC_ACTION_LOG
b) Table Name (название таблицы): BAPC_ORDER
c) Table Name (название таблицы): BCA_PAYMITEM
d) Сохраните записи.
Для реализации расширенного исправления необходимо сначала выполнить определенные действия вручную. После выполнения этих действий можно, при помощи транзакции SNOTE, реализовывать прилагаемые инструкции по исправлению ошибок. В заключение, необходимо выполнить вручную следующие действия.
------------------------------------------------------------------------
|Выполняется предварительно и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО FSAPPL Financial Servi...|
| Версия 100 до SAPKISC214 |
| Версия 200 до SAPKISC313 |
| Версия 300 до SAPK-30006INFSAPPL |
------------------------------------------------------------------------
1. При помощи транзакции SE11 создайте таблицу со следующими атрибутами:
a) Таблица: TBCA_DCA_VALTAB
b) Краткое описание: Разрешенные таблицы для BCA_DCA_DB_GET_ENTRY
c) На вкладке "Delivery and Maintenance" введите следующие значения:
Delivery Class: S
Table View Maint. (обслуживание таблицы): Display/Maintenance Allowed with Restrictions (обслуживание с ограничениями)
d) На вкладке "Fields" введите следующие поля:
Поле Ключ Иниц. Элемент данных
TABLENAME X X TABNAME
e) Сделайте следующие настройки:
Data class (класс данных): APPL2
Size category (категория размера): 0
Buffering (буферизация): Buffering switched on (включена)
Buffering type (тип буферизации): Fully Buffered (полная)
No. of key fields (кол-во ключевых полей): 0
Log data changes (изменение данных журнала): X
f) В меню перейдите к "Extras -> Enhancement Category" и выберите "Cannot Be Enhanced"
g) Сохраните и активируйте таблицу.
Пакет: BCA_DCA_TEST
Более подробную информацию по созданию таблиц см. в бюллетене 618242.
2. Вызовите транзакцию SE11 и создайте следующий ракурс:
a) Ракурс ведения (Maintenance view): V_BCA_DCA_VALTAB
b) Краткое описание: Ракурс ведения для таблицы TBCA_DCA_VALTAB
c) Необходимо настроить следующие атрибуты на вкладке "Table/Join Conditions":
Tables (таблицы): TBCA_DCA_VALTAB
d) Следующие поля должны быть на вкладке "View Flds":
Поле Ключ Иниц. Элемент данных
TABLENAME X X TABNAME
e) Необходимо настроить следующие атрибуты на вкладке "Maint.Status":
Access (доступ): read, change, delete and insert (просмотр, изменение, удаление и вставка)
Delivery Class: S
Table View Maint. (обслуживание таблицы): Display/Maintenance Allowed (обслуживание разрешено)
f) Сохраните и примените внесенные изменения.
Пакет: BCA_DCA_TEST
3. Используйте транзакцию SE54 для создания диалога ведения для ракурса V_BCA_DCA_VALTAB:
a) В поле "Table/View" (таблица/ракурс) введите V_BCA_DCA_VALTAB.
b) В области "Edit Table/View" (редактирование таблицы/ракурса) выберите "Generated objects" (сгенерированные объекты) и нажмите "Create" (создать).
c) Подтвердите в диалоговом окне создание модулей ведения (maintenance modules).
d) На следующем экране "Generate table maintenance dialog: Generation environment" (Генерирование диалога ведения таблиц: среда генерирования) введите следующее:
Authorization Group (авторизационная группа): FA01
Function group (функциональная группа): BCA_DCA_TEST_GD
Package (пакет): BCA_DCA_TEST
Maintenance type (тип ведения): one step (один шаг)
Maint. Screen No. (№ экрана ведения) Overview screen (общий экран): 100
Single screen (отдельный экран): 0
Recording routine (подпрограмма записи): Standard (стандартная)
Compare Flag: Automatically Adjustable (автоматическая настройка)
e) Затем нажмите кнопку с символом "Create" (создать) и сгенерируйте диалог ведения.
f) При помощи транзакции SM30 проверьте наличие в диалоге ведения всех полей ракурса для обработки/отображения.
4. При помощи транзакции SM30 создайте следующие записи для ракурса V_BCA_DCA_VALTAB:
a) Table Name (название таблицы): BAPC_ACTION_LOG
b) Table Name (название таблицы): BAPC_ORDER
c) Table Name (название таблицы): BCA_PAYMITEM
d) Сохраните записи.
------------------------------------------------------------------------
|Выполняется предварительно и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО BANK-TRBK SAP Bank Custom...|
| Версия 30 до SAPKISCC11 |
| Версия 40 до SAPKISC108 |
------------------------------------------------------------------------
1. При помощи транзакции SE11 создайте таблицу со следующими атрибутами:
a) Table (таблица): TBCA_DCA_VALTAB
b) Short Description (краткое описание): Разрешенные таблицы для BCA_DCA_DB_GET_ENTRY
c) На вкладке "Delivery and Maintenance" введите следующие значения:
Delivery Class: S
Table View Maint. (обслуживание таблицы): Display/Maintenance Allowed with Restrictions (обслуживание с ограничениями)
d) На вкладке "Fields" введите следующие поля:
Поле Ключ Иниц. Элемент данных
TABLENAME X X TABNAME
e) Сделайте следующие настройки:
Data class (класс данных): APPL2
Size category (категория размера): 0
Buffering (буферизация): Buffering switched on (включена)
Buffering type (тип буферизации): Fully Buffered (полная)
No. of key fields (кол-во ключевых полей): 0
Log data changes (изменение данных журнала): X
f) В меню перейдите к "Extras -> Enhancement Category" и выберите "Cannot Be Enhanced"
g) Сохраните и активируйте таблицу.
Package (пакет): BCA_DCA_TEST
Более подробную информацию по созданию таблиц см. в бюллетене 618242.
2. Вызовите транзакцию SE11 и создайте следующий ракурс:
a) Ракурс ведения (Maintenance view): V_BCA_DCA_VALTAB
b) Short Description (краткое описание): Ракурс ведения для таблицы TBCA_DCA_VALTAB
c) Необходимо настроить следующие атрибуты на вкладке "Table/Join Conditions":
Tables (таблицы): TBCA_DCA_VALTAB
d) Следующие поля должны быть на вкладке "View Flds":
Поле Ключ Иниц. Элемент данных
TABLENAME X X TABNAME
e) Необходимо настроить следующие атрибуты на вкладке "Maint.Status":
Access (доступ): read, change, delete and insert (просмотр, изменение, удаление и вставка)
Delivery Class: S
Table View Maint. (обслуживание таблицы): Display/Maintenance Allowed (обслуживание разрешено)
f) Сохраните и примените внесенные изменения.
Package (пакет): BCA_DCA_TEST
3. Используйте транзакцию SE54 для создания диалога ведения для ракурса V_BCA_DCA_VALTAB:
a) В поле "Table/View" (таблица/ракурс) введите V_BCA_DCA_VALTAB.
b) В области "Edit Table/View" (редактирование таблицы/ракурса) выберите "Generated objects" (сгенерированные объекты) и нажмите "Create" (создать).
c) Подтвердите в диалоговом окне создание модулей ведения (maintenance modules).
d) На следующем экране "Generate table maintenance dialog: Generation environment" (Генерирование диалога ведения таблиц: среда генерирования) введите следующее:
Authorization Group (авторизационная группа): FA01
Function group (функциональная группа): BCA_DCA_TEST_GD
Package (пакет): BCA_DCA_TEST
Maintenance type (тип ведения): one step (один шаг)
Maint. Screen No. (№ экрана ведения) Overview screen (общий экран): 100
Single screen (отдельный экран): 0
Recording routine (подпрограмма записи): Standard (стандартная)
Compare Flag: Automatically Adjustable (автоматическая настройка)
e) Затем нажмите кнопку с символом "Create" (создать) и сгенерируйте диалог ведения.
f) При помощи транзакции SM30 проверьте наличие в диалоге ведения всех полей ракурса для обработки/отображения.
4. При помощи транзакции SM30 создайте следующие записи для ракурса V_BCA_DCA_VALTAB:
a) Table Name (название таблицы): BAPC_ACTION_LOG
b) Table Name (название таблицы): BAPC_ORDER
c) Table Name (название таблицы): BCA_PAYMITEM
d) Сохраните записи.
Ссылки
