Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
SAP Notes
(1534115-3)
SAP Support Packages
(SAPKB64028, SAPKB70025, SAPKB70110, SAPKB70208, SAPKB71013, SAPKB71108, SAPKB72006, SAPKB73003)
Описание
Некоторые страницы в BSP-приложениях CERTREQ и CERTMAP позволяют выполнить междоменное перенаправление. Злоумышленник может включить URL-адрес другого домена в URL-адрес целевого приложения, который затем может быть отправлен пользователям целевого приложения. Пользователь будет думать, что содержимое предоставляется целевым приложением, однако при посещении подобной страницы будет представлено содержимое из домена злоумышленника. Затем злоумышленник может имитировать страницы целевого приложения (например, страницу входа в систему), чтобы получить от пользователя конфиденциальную информацию (например, его пароль). Для устранения уязвимости необходимо разрешить перенаправление только на проверенные или локальные домены.
Как исправить
Примените исправления. Затем задайте список разрешенных для перенаправления URL-адресов в таблице HTTP_WHITELIST с типом записи 2 (sap-exiturl).
------------------------------------------------------------------------
|Выполняется после установки и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО SAP_BASIS SAP Basis compo...|
| Версия 640 до SAPKB64027 |
| Версия 700 до SAPKB70024 |
| Версия 710 SAPKB71003 - SAPKB71012 |
| Версия 711 до SAPKB71107 |
| Версия 701 до SAPKB70109 |
| Версия 702 до SAPKB70207 |
| Версия 730 SAPKB73001 - SAPKB73002 |
| Версия 720 до SAPKB72005 |
------------------------------------------------------------------------
В классе сообщений SUSR_CERT создайте новое сообщение 029 "Password initial or expired" и поставьте флажок для "self explanatory".
------------------------------------------------------------------------
|Выполняется после установки и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО SAP_BASIS SAP Basis compo...|
| Версия 640 до SAPKB64027 |
| Версия 700 до SAPKB70024 |
| Версия 710 SAPKB71003 - SAPKB71012 |
| Версия 711 до SAPKB71107 |
| Версия 701 до SAPKB70109 |
| Версия 702 до SAPKB70207 |
| Версия 730 SAPKB73001 - SAPKB73002 |
| Версия 720 до SAPKB72005 |
------------------------------------------------------------------------
В классе сообщений SUSR_CERT создайте новое сообщение 029 "Password initial or expired" и поставьте флажок для "self explanatory".
Ссылки
