Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
(AV:N/AC:H/AU:S/C:P/I:N/A:N)
Производитель ПО
Наименование ПО
SAP Notes
(1585527-4)
SAP Support Packages
(CRM_IPC_MOBILE_701_SP004_000001, CRM_IPC_MOBILE_701_SP999999_999999, CRM_IPC_MOBILE_SERV_EXT_701_SP004_000001, CRM_IPC_MOBILE_SERV_EXT_701_SP999999_999999, CRM_JAVA_APPLICATIONS_50_SP018_000015, CRM_JAVA_APPLICATIONS_50_SP999999_999999, CRM_JAVA_APPLICATIONS_60_SP008_000011, CRM_JAVA_APPLICATIONS_60_SP999999_999999, CRM_JAVA_APPLICATIONS_70_SP009_000009, CRM_JAVA_APPLICATIONS_70_SP999999_999999, CRM_JAVA_APPLICATIONS_701_SP004_000001, CRM_JAVA_APPLICATIONS_701_SP999999_999999, CRM_JAVA_COMPONENTS_50_SP018_000015, CRM_JAVA_COMPONENTS_50_SP999999_999999, CRM_JAVA_COMPONENTS_60_SP008_000011, CRM_JAVA_COMPONENTS_60_SP999999_999999, CRM_JAVA_COMPONENTS_70_SP009_000009, CRM_JAVA_COMPONENTS_70_SP999999_999999, CRM_JAVA_COMPONENTS_701_SP004_000001, CRM_JAVA_COMPONENTS_701_SP999999_999999, CRM_JAVA_WEB_COMPONENTS_50_SP018_000015, CRM_JAVA_WEB_COMPONENTS_50_SP999999_999999, CRM_JAVA_WEB_COMPONENTS_60_SP008_000011, CRM_JAVA_WEB_COMPONENTS_60_SP999999_999999, CRM_JAVA_WEB_COMPONENTS_70_SP009_000009, CRM_JAVA_WEB_COMPONENTS_70_SP999999_999999, CRM_JAVA_WEB_COMPONENTS_701_SP004_000001, CRM_JAVA_WEB_COMPONENTS_701_SP999999_999999, SAP_INTERNET_SALES_WAC_640_SP017_000006, SAP_INTERNET_SALES_WAC_640_SP999999_999999, SAP_JAVA_DATA_DICTIONARY_701_SP004_000001, SAP_JAVA_DATA_DICTIONARY_701_SP999999_999999, SAP_SHARED_JAVA_APPLIC_50_SP018_000015, SAP_SHARED_JAVA_APPLIC_50_SP999999_999999, SAP_SHARED_JAVA_APPLIC_60_SP008_000011, SAP_SHARED_JAVA_APPLIC_60_SP999999_999999, SAP_SHARED_JAVA_APPLIC_70_SP009_000009, SAP_SHARED_JAVA_APPLIC_70_SP999999_999999, SAP_SHARED_JAVA_APPLIC_701_SP004_000001, SAP_SHARED_JAVA_APPLIC_701_SP999999_999999, SAP_SHARED_JAVA_COMP_701_SP004_000001, SAP_SHARED_JAVA_COMP_701_SP999999_999999, SAP_SHARED_JAVA_COMPONENTS_50_SP018_000015, SAP_SHARED_JAVA_COMPONENTS_50_SP999999_999999, SAP_SHARED_JAVA_COMPONENTS_60_SP008_000011, SAP_SHARED_JAVA_COMPONENTS_60_SP999999_999999, SAP_SHARED_JAVA_COMPONENTS_70_SP009_000009, SAP_SHARED_JAVA_COMPONENTS_70_SP999999_999999, SAP_SHARED_WEB_COMPONENTS_50_SP018_000015, SAP_SHARED_WEB_COMPONENTS_50_SP999999_999999, SAP_SHARED_WEB_COMPONENTS_60_SP008_000011, SAP_SHARED_WEB_COMPONENTS_60_SP999999_999999, SAP_SHARED_WEB_COMPONENTS_70_SP009_000009, SAP_SHARED_WEB_COMPONENTS_70_SP999999_999999, SAP_SHARED_WEB_COMPONENTS_701_SP004_000001, SAP_SHARED_WEB_COMPONENTS_701_SP999999_999999)
Описание
Раздел журналирования приложений CRM Web Channel в административной зоне некорректно проверяет путь к журналу регистрации, просматриваемому с удаленного сервера. В результате, злоумышленник, имеющий доступ к административной зоне, может направить программу к произвольному файлу в системе, получая доступ его содержимому.
Как исправить
В раздел журналирования приложений CRM Web Channel в административной зоне добавлены новые проверки безопасности:
1) Файл или каталог журнала регистрации должен храниться в корневом каталоге J2EE-серверов, например в: /usr/sap/[SID]/JC00/j2ee/cluster/serverX/ (в ОС на базе Linux/Unix)
или
D:\usr\sap\[SID]\JCOO\j2ee\cluster\serverX\ (в ОС на базе Windows).
2) Создавать, просматривать или загружать можно только журналы регистрации, имеющие расширения .log/.trc/.zip.
Данный бюллетень содержит Java-исправление(я) для E-Commerce и Web Channel.
Программный компонент: SAP-SHRJAV
Компонент разработки: sap.com/crm/tc/core
Измененный файл: Admin.java, CoreAdminServlet.java
Программный компонент: ESALES_Base
Компонент разработки: sapmarkets/isa/core/logging
Измененный файл: Admin.java, CoreAdminServlet.java
Установите пакет исправлений, прилагаемый к данному бюллетеню.
Более подробную информацию о реализации Java-исправлений см. в бюллетене 877887.
Для получения информации о правилах предоставления исправлений см. бюллетень 1546959.
1) Файл или каталог журнала регистрации должен храниться в корневом каталоге J2EE-серверов, например в: /usr/sap/[SID]/JC00/j2ee/cluster/serverX/ (в ОС на базе Linux/Unix)
или
D:\usr\sap\[SID]\JCOO\j2ee\cluster\serverX\ (в ОС на базе Windows).
2) Создавать, просматривать или загружать можно только журналы регистрации, имеющие расширения .log/.trc/.zip.
Данный бюллетень содержит Java-исправление(я) для E-Commerce и Web Channel.
Программный компонент: SAP-SHRJAV
Компонент разработки: sap.com/crm/tc/core
Измененный файл: Admin.java, CoreAdminServlet.java
Программный компонент: ESALES_Base
Компонент разработки: sapmarkets/isa/core/logging
Измененный файл: Admin.java, CoreAdminServlet.java
Установите пакет исправлений, прилагаемый к данному бюллетеню.
Более подробную информацию о реализации Java-исправлений см. в бюллетене 877887.
Для получения информации о правилах предоставления исправлений см. бюллетень 1546959.
Ссылки
