Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
SAP Notes
(1587531-1)
SAP Support Packages
(SAPKA62071, SAPKA64029, SAPKA70025, SAPKA70110, SAPKA70209, SAPKA71013, SAPKA71108, SAPKA73004, SAPKH31IB9, SAPKH40B89, SAPKH45B67, SAPKH46B62, SAPKH46C63)
Описание
Отчеты RCCLUKA2 и RMCLTEXT некорректно проверяют правильность пути, по которому записывается файл, предоставляемый пользователем. В результате злоумышленник может перезаписать данные в удаленной системе.
Для выполнения отчета RCCLUKA2 требуется использование двух логических имен файлов, CustomizingRCCLUKA2_KSSK и RCCLUKA2_AUSP, определенных в настройках (Customizing). Обратите внимание, что оба имени относятся к разным файлам.
Отчет RMCLTEXT использует логическое имя файла CLASS_TEXT. Логическое имя файла должно быть определено в настройках (Customizing).
Если настройки недоступны, можно воспользоваться транзакцией FILE для определения логического имени файла:
Логический файл Имя Область применения
CLASS_TEXT Входной файл для отчета RMCLTEXT CA
RCCLUKA2_AUSP Временный AUSP буфер для отчета RCCLUKA2 CA
RCCLUKA2_KSSK Временный KSSK буфер для отчета RCCLUKA2 CA
Затем с помощью транзакции SF01 вводятся логические имена файлов и назначаются физические имена файлов.
Для выполнения отчета RCCLUKA2 требуется использование двух логических имен файлов, CustomizingRCCLUKA2_KSSK и RCCLUKA2_AUSP, определенных в настройках (Customizing). Обратите внимание, что оба имени относятся к разным файлам.
Отчет RMCLTEXT использует логическое имя файла CLASS_TEXT. Логическое имя файла должно быть определено в настройках (Customizing).
Если настройки недоступны, можно воспользоваться транзакцией FILE для определения логического имени файла:
Логический файл Имя Область применения
CLASS_TEXT Входной файл для отчета RMCLTEXT CA
RCCLUKA2_AUSP Временный AUSP буфер для отчета RCCLUKA2 CA
RCCLUKA2_KSSK Временный KSSK буфер для отчета RCCLUKA2 CA
Затем с помощью транзакции SF01 вводятся логические имена файлов и назначаются физические имена файлов.
Как исправить
Внесите изменения в соответствии с расширенным исправлением.
В настройках укажите физический путь логического имени файла CLASS_TEXT для отчета RMCLTEXT.
Также см. информацию из бюллетеня 1497003. Программные изменения из бюллетеня 1497003 необходимы для реализации данного бюллетеня.
В настройках укажите физический путь логического имени файла CLASS_TEXT для отчета RMCLTEXT.
Также см. информацию из бюллетеня 1497003. Программные изменения из бюллетеня 1497003 необходимы для реализации данного бюллетеня.
Ссылки
