Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
SAP Notes
(1575722-3)
SAP Support Packages
(SAPKW70027, SAPKW70110, SAPKW70209, SAPKW71108, SAPKW73004)
Описание
Хранилище бизнес-информации (BW) некорректно проверяет правильность пути, по которому записывается файл, предоставляемый пользователем. В результате злоумышленник может перезаписать данные в удаленной системе.
Как исправить
Например:
Перед внесением исправлений можно в транзакции /NLISTCUBE определить тип возвращаемой переменной; сделать это можно в первом экране выбора (переключатели в конце экрана). Если выбрано Store in file (appl. server) [Сохранять в файл (сервер прилож.)], то для сохранения можно назначить любой каталог.
После внесения исправлений, для выбора будут доступны только следующие каталоги:
UNIX: /tmp/<имя файла>
WINDOWS NT:\<имя файла>
При попытке записать данные (в UNIX-системе) по адресу /usr/sap/put/my_data, система выдаст отказ.
Настройки задаются в транзакции /NFILE.
Определение логического пути файла: BW_RSDR
Определение логического имени файла, общего: BW_RSDR
Необходимо установить исправления.
SAP NetWeaver BW 7.00
Импортируйте пакет поддержки 28 для SAP NetWeaver BW 7.00 (SAPKW70028) в вашу BW-систему (систему хранения бизнес-информации). Данный пакет поддержки доступен пользователям, получившим бюллетень 1600222 "SAPBWNews NW BW 7.0 ABAP SP28", содержащий более подробную информацию о пакете поддержки.
SAP NetWeaver BW 7.01 (SAP NW BW 7.0 пакет расширения функциональности Enhancement Package 1)
Импортируйте пакет поддержки 11 для SAP NetWeaver BW 7.01 (SAPKW70111) в вашу BW-систему (систему хранения бизнес-информации). Данный пакет поддержки доступен пользователям, получившим бюллетень 1601974 "SAPBWNews NW 7.01 BW ABAP SP11", содержащий более подробную информацию о пакете поддержки.
SAP NetWeaver BW 7.02 (SAP NW BW 7.0 пакет расширения функциональности Enhancement Package 2)
Импортируйте пакет поддержки 10 для SAP NetWeaver BW 7.02 (SAPKW70210) в вашу BW-систему (систему хранения бизнес-информации). Данный пакет поддержки доступен пользователям, получившим бюллетень 1604436 "SAPBWNews NW 7.02 BW ABAP SP10", содержащий более подробную информацию о пакете поддержки.
SAP NetWeaver BW 7.11
Импортируйте пакет поддержки 8 для SAP NetWeaver BW 7.11 (SAPKW71108) в вашу BW-систему (систему хранения бизнес-информации). Данный пакет поддержки доступен пользователям, получившим бюллетень 1510977 "SAPBWNews NW BW 7.11 BW ABAP SP8", содержащий более подробную информацию о пакете поддержки.
SAP NetWeaver BW 7.30
Импортируйте пакет поддержки 05 для SAP NetWeaver BW 7.30 (SAPKW73005) в вашу BW-систему (систему хранения бизнес-информации). Данный пакет поддержки доступен пользователям, получившим бюллетень 1606526 "SAPBWNews NW 7.30 BW ABAP SP05", содержащий более подробную информацию о пакете поддержки.
Можно использовать прилагаемые исправления в качестве расширенного исправления.
Перед внесением исправлений можно в транзакции /NLISTCUBE определить тип возвращаемой переменной; сделать это можно в первом экране выбора (переключатели в конце экрана). Если выбрано Store in file (appl. server) [Сохранять в файл (сервер прилож.)], то для сохранения можно назначить любой каталог.
После внесения исправлений, для выбора будут доступны только следующие каталоги:
UNIX: /tmp/<имя файла>
WINDOWS NT:
При попытке записать данные (в UNIX-системе) по адресу /usr/sap/put/my_data, система выдаст отказ.
Настройки задаются в транзакции /NFILE.
Определение логического пути файла: BW_RSDR
Определение логического имени файла, общего: BW_RSDR
Необходимо установить исправления.
SAP NetWeaver BW 7.00
Импортируйте пакет поддержки 28 для SAP NetWeaver BW 7.00 (SAPKW70028) в вашу BW-систему (систему хранения бизнес-информации). Данный пакет поддержки доступен пользователям, получившим бюллетень 1600222 "SAPBWNews NW BW 7.0 ABAP SP28", содержащий более подробную информацию о пакете поддержки.
SAP NetWeaver BW 7.01 (SAP NW BW 7.0 пакет расширения функциональности Enhancement Package 1)
Импортируйте пакет поддержки 11 для SAP NetWeaver BW 7.01 (SAPKW70111) в вашу BW-систему (систему хранения бизнес-информации). Данный пакет поддержки доступен пользователям, получившим бюллетень 1601974 "SAPBWNews NW 7.01 BW ABAP SP11", содержащий более подробную информацию о пакете поддержки.
SAP NetWeaver BW 7.02 (SAP NW BW 7.0 пакет расширения функциональности Enhancement Package 2)
Импортируйте пакет поддержки 10 для SAP NetWeaver BW 7.02 (SAPKW70210) в вашу BW-систему (систему хранения бизнес-информации). Данный пакет поддержки доступен пользователям, получившим бюллетень 1604436 "SAPBWNews NW 7.02 BW ABAP SP10", содержащий более подробную информацию о пакете поддержки.
SAP NetWeaver BW 7.11
Импортируйте пакет поддержки 8 для SAP NetWeaver BW 7.11 (SAPKW71108) в вашу BW-систему (систему хранения бизнес-информации). Данный пакет поддержки доступен пользователям, получившим бюллетень 1510977 "SAPBWNews NW BW 7.11 BW ABAP SP8", содержащий более подробную информацию о пакете поддержки.
SAP NetWeaver BW 7.30
Импортируйте пакет поддержки 05 для SAP NetWeaver BW 7.30 (SAPKW73005) в вашу BW-систему (систему хранения бизнес-информации). Данный пакет поддержки доступен пользователям, получившим бюллетень 1606526 "SAPBWNews NW 7.30 BW ABAP SP05", содержащий более подробную информацию о пакете поддержки.
Можно использовать прилагаемые исправления в качестве расширенного исправления.
Ссылки
