• Все разделы
  • Статьи
  • Медиа
  • Новости
  • Нормативные материалы
  • Конференции
  • Глоссарий

Note 1577766 - Несанкционированное изменение отображаемого содержимого в WEBCUIF

Главная Специалистам База уязвимостей Note 1577766 - Несанкционированное изменение отображаемого содержимого в WEBCUIF

Карточка уязвимости

Характеристики уязвимости

Уровень опасности
Оценка CVSS
Производитель ПО
SAP
Наименование ПО
SAP Notes (1577766-7) SAP Support Packages (746, SAPK-51008INCRMUIF, SAPK-52013INCRMUIF, SAPK-60012INCRMUIF, SAPK-60014INCRMUIF, SAPK-70010INWEBCUIF, SAPK-70011INWEBCUIF, SAPK-70105INWEBCUIF, SAPK-70107INWEBCUIF, SAPK-73002INWEBCUIF, SAPK-73003INWEBCUIF, SAPK-73101INWEBCUIF, SAPK-73102INWEBCUIF)
Описание
Редактор BTF в WEBCUIF некорректно кодирует содержимое, что позволяет осуществить отраженное межсайтовое выполнение сценариев. Отраженное межсайтовое выполнение сценариев может быть использовано для временного искажения или изменения отображаемого содержимого веб-сайта.
Отраженное межсайтовое выполнение сценариев позволяет получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии. Злоумышленник, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя.
Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Как исправить
Выполните вручную настройки и используйте прилагаемые инструкции по исправлению ошибок, или установите соответствующий пакет поддержки.

Существует вероятность, что редактор BTF не сможет осуществить фильтрацию сохраненных в Microsoft Word HTML-документов. При возникновении вышеупомянутой проблемы сохраните в Microsoft Word документ, предназначенный для импорта в редактор BTF, как веб-страницу с фильтром ("Web Page, Filtered"). В этом случае Word создает HTML-файл, который будет корректно отфильтрован в редакторе BTF.




------------------------------------------------------------------------
|Выполняется предварительно и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО CRMUIF SAP CRM UIF |
| Версия 600 SAPK-60002INCRMUIF - SAPK-60011INCRMUIF |
------------------------------------------------------------------------

Перед использованием инструкции по исправлению ошибок необходимо выполнить вручную следующие настройки:
Выполняемая вручную процедура 1:
1) Войдите в CRM-систему, используя SAP GUI.
2) Запустите транзакцию "SE80".
3) Используя навигатор объектов, расположенный в левой части экрана, выберите "BSP Extension" в выпадающем меню "Application Hierarchy".
4) Введите "THTMLBX" и нажмите enter (ввод).
5) Дважды нажмите "btf".
6) В основной рабочей области выберите вкладку "Attributes".
7) Укажите новый атрибут со следующими данными:
- Атрибут = "hideSourceView" ("скрыть просмотр источника")
- Required (требуется) = leave unchecked (оставить без проверки)
- Dynamic Value Allowed (допустимое динамическое значение) = CHECK (проверка)
- Call By Ref. (вызов по ссылке) = leave unchecked (оставить без проверки)
- Bindable (поддержка привязки) = leave unchecked (оставить без проверки)
- Typing Method (метод типизации) = "1 TYPE" ("1 тип")
- Associated Type (ассоциированный тип) = "STRING" ("строка")
- Default Value (значение по умолчанию) = "TRUE" ("Истина")
- Description (описание) = "Hide the Source View button" ("скрыть кнопку просмотра источника")

8) Измените значение по умолчанию атрибута "filterDocumentContent" с "FALSE" ("Ошибка") на "TRUE" ("Истина").
9) Сохраните и примените внесенные изменения нажатием кнопки "пуск" на верхней панели инструментов.


------------------------------------------------------------------------
|Выполняется предварительно и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО CRMUIF SAP CRM UIF |
| Версия 520 SAPK-52001INCRMUIF - SAPK-52012INCRMUIF |
------------------------------------------------------------------------

Перед использованием инструкции по исправлению ошибок необходимо выполнить вручную следующие настройки:
Выполняемая вручную процедура 1:
1) Войдите в CRM-систему, используя SAP GUI.
2) Запустите транзакцию "SE80".
3) Используя навигатор объектов, расположенный в левой части экрана, выберите "BSP Extension" в выпадающем меню "Application Hierarchy".
4) Введите "THTMLBX" и нажмите enter (ввод).
5) Дважды нажмите "btf".
6) В основной рабочей области выберите вкладку "Attributes".
7) Укажите новый атрибут со следующими данными:
- Атрибут = "hideSourceView" ("скрыть просмотр источника")
- Required (требуется) = leave unchecked (оставить без проверки)
- Dynamic Value Allowed (допустимое динамическое значение) = CHECK (проверка)
- Call By Ref. (вызов по ссылке) = leave unchecked (оставить без проверки)
- Bindable (поддержка привязки) = leave unchecked (оставить без проверки)
- Typing Method (метод типизации) = "1 TYPE" ("1 тип")
- Associated Type (ассоциированный тип) = "STRING" ("строка")
- Default Value (значение по умолчанию) = "TRUE" ("Истина")
- Description (описание) = "Hide the Source View button" ("скрыть кнопку просмотра источника")

8) Измените значение по умолчанию атрибута "filterDocumentContent" с "FALSE" ("Ошибка") на "TRUE" ("Истина").
9) Сохраните и примените внесенные изменения нажатием кнопки "пуск" на верхней панели инструментов.


------------------------------------------------------------------------
|Выполняется предварительно и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО CRMUIF SAP CRM UIF |
| Release 520 SAPK-52001INCRMUIF - SAPK-52012INCRMUIF |
| Версия 600 SAPK-60006INCRMUIF - SAPK-60013INCRMUIF |
------------------------------------------------------------------------

Запустите транзакцию SE80 и выберите "Workbench" / "Edit Object..." ("Инструментальные средства"/ "Редактировать объект"). Во вкладке "Web Objects" ("Веб-объекты") выберите "BSP Extension" ("Расширение BSP") и введите "thtmlbx" в поле, расположенном рядом с этой опцией. Выберите "Change (F6)" ("Изменить (F6)") и затем "Display Object List" ("Показать список объектов").

Дважды нажмите на узел "btf", расположенный под "thtmlbx", и перейдите на вкладку "Attribute". Добавьте указанные ниже атрибуты со следующими свойствами:

Атрибут "filterBasedOnWhiteList":
Атрибут: filterBasedOnWhiteList
Требуется: [ ] (Off) (откл)
Допустимое динамическое значение: [X] (On) (вкл)
Вызов по ссылке: [ ] (Off) (откл)
Поддержка привязки: [ ] (Off) (откл)
Метод типизации: TYPE (Тип)
Ассоциированный тип: STRING (Строка)
Значение по умолчанию: TRUE (Истина)
Описание: White-list based filter (Фильтр на основе белого списка)
Атрибут "filterReplaceDocumentOnError":
Атрибут: filterReplaceDocumentOnError
Требуется: [ ] (Off) (откл)
Допустимое динамическое значение: [X] (On) (вкл)
Вызов по ссылке: [ ] (Off) (откл)
Поддержка привязки: [ ] (Off) (откл)
Метод типизации: TYPE (Тип)
Ассоциированный тип: STRING (Строка)
Значение по умолчанию: TRUE (Истина)
Описание: Replace document on filter error (Замена документа при ошибке фильтра)
Атрибут "filterReplacementText":
Атрибут: filterReplacementText
Требуется: [ ] (Off) (откл)
Допустимое динамическое значение: [X] (On) (вкл)
Вызов по ссылке: [ ] (Off) (откл)
Поддержка привязки: [ ] (Off) (откл)
Метод типизации: TYPE (Тип)
Ассоциированный тип: STRING (Строка)
Значение по умолчанию:
Описание: Содержимое заменяемого документа
Сохраните изменения и активируйте расширение BSP "thtmlbx".

Запустите транзакцию SE24, введите "CL_THTMLBX_BTF_EDITOR" в качестве типа объекта и измените данный класс. Перейдите к текстовым компонентам и введите следующее:

Text 029:
Sym: 029
Text: Replace document on filter error (Замена документа при ошибке фильтра)
mLen: 132
Text 030:
Sym: 030
Text: Содержимое заменяемого документа
mLen: 132
Text 031:
Sym: 031
Text: White-list based filter (Фильтр на основе белого списка)
mLen: 132

Сохраните и примените внесенные изменения.


------------------------------------------------------------------------
|Выполняется предварительно и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО WEBCUIF |
| Версия 701 SAPK-70101INWEBCUIF - SAPK-70104INWEBCUIF |
------------------------------------------------------------------------



Перед использованием инструкции по исправлению ошибок необходимо выполнить вручную следующие настройки:
Выполняемая вручную процедура 1:
1) Войдите в CRM-систему, используя SAP GUI.
2) Запустите транзакцию "SE80".
3) Используя навигатор объектов, расположенный в левой части экрана, выберите "BSP Extension" в выпадающем меню "Application Hierarchy".
4) Введите "THTMLBX" и нажмите enter (ввод).
5) Дважды нажмите "btf".
6) В основной рабочей области выберите вкладку "Attributes".
7) Укажите новый атрибут со следующими данными:
- Атрибут = "hideSourceView" ("скрыть просмотр источника")
- Required (требуется) = leave unchecked (оставить без проверки)
- Dynamic Value Allowed (допустимое динамическое значение) = CHECK (проверка)
- Call By Ref. (вызов по ссылке) = leave unchecked (оставить без проверки)
- Bindable (поддержка привязки) = leave unchecked (оставить без проверки)
- Typing Method (метод типизации) = "1 TYPE" ("1 тип")
- Associated Type (ассоциированный тип) = "STRING" ("строка")
- Default Value (значение по умолчанию) = "TRUE" ("Истина")
- Description (описание) = "Hide the Source View button" ("скрыть кнопку просмотра источника")

8) Измените значение по умолчанию атрибута "filterDocumentContent" с "FALSE" ("Ошибка") на "TRUE" ("Истина").
9) Сохраните и примените внесенные изменения нажатием кнопки "пуск" на верхней панели инструментов.



------------------------------------------------------------------------
|Выполняется предварительно и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО WEBCUIF |
| Версия 700 SAPK-70001INWEBCUIF - SAPK-70009INWEBCUIF |
| Версия 730 До SAPK-73001INWEBCUIF |
------------------------------------------------------------------------

Перед использованием инструкции по исправлению ошибок необходимо выполнить вручную следующие настройки:
Выполняемая вручную процедура 1:
1) Войдите в CRM-систему, используя SAP GUI.
2) Запустите транзакцию "SE80".
3) Используя навигатор объектов, расположенный в левой части экрана, выберите "BSP Extension" в выпадающем меню "Application Hierarchy".
4) Введите "THTMLBX" и нажмите enter (ввод).
5) Дважды нажмите "btf".
6) В основной рабочей области выберите вкладку "Attributes".
7) Укажите новый атрибут со следующими данными:
- Атрибут = "hideSourceView" ("скрыть просмотр источника")
- Required (требуется) = leave unchecked (оставить без проверки)
- Dynamic Value Allowed (допустимое динамическое значение) = CHECK (проверка)
- Call By Ref. (вызов по ссылке) = leave unchecked (оставить без проверки)
- Bindable (поддержка привязки) = leave unchecked (оставить без проверки)
- Typing Method (метод типизации) = "1 TYPE" ("1 тип")
- Associated Type (ассоциированный тип) = "STRING" ("строка")
- Default Value (значение по умолчанию) = "TRUE" ("Истина")
- Description (описание) = "Hide the Source View button" ("скрыть кнопку просмотра источника")

8) Измените значение по умолчанию атрибута "filterDocumentContent" с "FALSE" ("Ошибка") на "TRUE" ("Истина").
9) Сохраните и примените внесенные изменения нажатием кнопки "пуск" на верхней панели инструментов.


------------------------------------------------------------------------
|Выполняется предварительно и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО WEBCUIF |
| Версия 700 SAPK-70001INWEBCUIF - SAPK-70010INWEBCUIF |
| Версия 701 SAPK-70103INWEBCUIF - SAPK-70106INWEBCUIF |
| Версия 730 До SAPK-73002INWEBCUIF |
---------------------------------------------------------------------------------------

Запустите транзакцию SE80 и выберите "Workbench" / "Edit Object..." ("Инструментальные средства"/ "Редактировать объект"). Во вкладке "Web Objects" ("Веб-объекты") выберите "BSP Extension" ("Расширение BSP") и введите "thtmlbx" в поле, расположенном рядом с этой опцией. Выберите "Change (F6)" ("Изменить (F6)") и затем "Display Object List" ("Показать список объектов").

Дважды нажмите на узел "btf", расположенный под "thtmlbx", и перейдите на вкладку "Attribute". Добавьте указанные ниже атрибуты со следующими свойствами:

Атрибут "filterBasedOnWhiteList":
Атрибут: filterBasedOnWhiteList
Требуется: [ ] (Off) (откл)
Допустимое динамическое значение: [X] (On) (вкл)
Вызов по ссылке: [ ] (Off) (откл)
Поддержка привязки: [ ] (Off) (откл)
Метод типизации: TYPE (Тип)
Ассоциированный тип: STRING (Строка)
Значение по умолчанию: TRUE (Истина)
Описание: White-list based filter (Фильтр на основе белого списка)
Атрибут "filterReplaceDocumentOnError":
Атрибут: filterReplaceDocumentOnError
Требуется: [ ] (Off) (откл)
Допустимое динамическое значение: [X] (On) (вкл)
Вызов по ссылке: [ ] (Off) (откл)
Поддержка привязки: [ ] (Off) (откл)
Метод типизации: TYPE (Тип)
Ассоциированный тип: STRING (Строка)
Значение по умолчанию: TRUE (Истина)
Описание: Replace document on filter error (Замена документа при ошибке фильтра)
Атрибут "filterReplacementText":
Атрибут: filterReplacementText
Требуется: [ ] (Off) (откл)
Допустимое динамическое значение: [X] (On) (вкл)
Вызов по ссылке: [ ] (Off) (откл)
Поддержка привязки: [ ] (Off) (откл)
Метод типизации: TYPE (Тип)
Ассоциированный тип: STRING (Строка)
Значение по умолчанию:
Описание: Содержимое заменяемого документа
Сохраните изменения и активируйте расширение BSP "thtmlbx".

Запустите транзакцию SE24, введите "CL_THTMLBX_BTF_EDITOR" в качестве типа объекта и измените данный класс. Перейдите к текстовым компонентам и введите следующее:

Text 029:
Sym: 029
Text: Replace document on filter error (Замена документа при ошибке фильтра)
mLen: 132
Text 030:
Sym: 030
Text: Содержимое заменяемого документа
mLen: 132
Text 031:
Sym: 031
Text: White-list based filter (Фильтр на основе белого списка)
mLen: 132

Сохраните и примените внесенные изменения.


------------------------------------------------------------------------
|Выполняется после установки и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО CRMUIF SAP CRM UIF |
| Версия 600 SAPK-60002INCRMUIF - SAPK-60011INCRMUIF |
------------------------------------------------------------------------

После выполнения вручную предустановочных действий и реализации инструкции по исправлению ошибок необходимо выполнить следующие действия после установки и вручную:
Выполняемая вручную процедура 1:
1) Войдите в CRM-систему, используя SAP GUI.
2) Запустите транзакцию "SE80".
3) Используя навигатор объектов, расположенный в левой части экрана, выберите "BSP Extension" в выпадающем меню "Application Hierarchy".
4) Введите "THTMLBX" и нажмите enter (ввод).
5) Дважды нажмите "btf".
6) В основной рабочей области выберите вкладку "Attributes".
7) Измените значение по умолчанию атрибута "hideSourceView" на "FALSE" ("Ошибка").
9) Сохраните и примените внесенные изменения нажатием кнопки "пуск" на верхней панели инструментов.


------------------------------------------------------------------------
|Выполняется после установки и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО CRMUIF SAP CRM UIF |
| Версия 520 SAPK-52001INCRMUIF - SAPK-52012INCRMUIF |
------------------------------------------------------------------------

После выполнения вручную предустановочных действий и реализации инструкции по исправлению ошибок необходимо выполнить следующие действия после установки и вручную:
Выполняемая вручную процедура 1:
1) Войдите в CRM-систему, используя SAP GUI.
2) Запустите транзакцию "SE80".
3) Используя навигатор объектов, расположенный в левой части экрана, выберите "BSP Extension" в выпадающем меню "Application Hierarchy".
4) Введите "THTMLBX" и нажмите enter (ввод).
5) Дважды нажмите "btf".
6) В основной рабочей области выберите вкладку "Attributes".
7) Измените значение по умолчанию атрибута "hideSourceView" на "FALSE" ("Ошибка").
9) Сохраните и примените внесенные изменения нажатием кнопки "пуск" на верхней панели инструментов.


------------------------------------------------------------------------
|Выполняется после установки и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО WEBCUIF |
| Версия 701 SAPK-70101INWEBCUIF - SAPK-70104INWEBCUIF |
------------------------------------------------------------------------

После выполнения вручную предустановочных действий и реализации инструкции по исправлению ошибок необходимо выполнить следующие действия после установки и вручную:
Выполняемая вручную процедура 1:
1) Войдите в CRM-систему, используя SAP GUI.
2) Запустите транзакцию "SE80".
3) Используя навигатор объектов, расположенный в левой части экрана, выберите "BSP Extension" в выпадающем меню "Application Hierarchy".
4) Введите "THTMLBX" и нажмите enter (ввод).
5) Дважды нажмите "btf".
6) В основной рабочей области выберите вкладку "Attributes".
7) Измените значение по умолчанию атрибута "hideSourceView" на "FALSE" ("Ошибка").
9) Сохраните и примените внесенные изменения нажатием кнопки "пуск" на верхней панели инструментов.


------------------------------------------------------------------------
|Выполняется после установки и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО WEBCUIF |
| Версия 700 SAPK-70001INWEBCUIF - SAPK-70009INWEBCUIF |
| Версия 730 До SAPK-73001INWEBCUIF |
------------------------------------------------------------------------

После выполнения вручную предустановочных действий и реализации инструкции по исправлению ошибок необходимо выполнить следующие действия после установки и вручную:
Выполняемая вручную процедура 1:
1) Войдите в CRM-систему, используя SAP GUI.
2) Запустите транзакцию "SE80".
3) Используя навигатор объектов, расположенный в левой части экрана, выберите "BSP Extension" в выпадающем меню "Application Hierarchy".
4) Введите "THTMLBX" и нажмите enter (ввод).
5) Дважды нажмите "btf".
6) В основной рабочей области выберите вкладку "Attributes".
7) Измените значение по умолчанию атрибута "hideSourceView" на "FALSE" ("Ошибка").
9) Сохраните и примените внесенные изменения нажатием кнопки "пуск" на верхней панели инструментов.
Ссылки