Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
SAP Notes
(1587581-5)
SAP Support Packages
(SAPKB62071, SAPKB64029, SAPKB70026, SAPKB70111, SAPKB70210, SAPKB71014, SAPKB71108, SAPKB72006, SAPKB73005, SAPKB73101)
Описание
Приложения Business Server Page (BSP) в workflow выполняют функции, обращаясь по особым URL-адресам с параметрами. Если злоумышленник заставит браузер пользователя, прошедшего аутентификацию, сделать запрос, содержащий определенный URL-адрес и специальные параметры, то функция будет выполнена с правами пользователя, прошедшего аутентификацию.
Для этого злоумышленник может использовать межсайтовое выполнение сценариев или ссылку, отправленную пользователю.
Для этого злоумышленник может использовать межсайтовое выполнение сценариев или ссылку, отправленную пользователю.
Как исправить
Используйте инструкции по исправлению ошибок или импортируйте пакет поддержки, указанный в данном бюллетене.
Примечание:
1. Дополнительную информацию и инструкции см. в бюллетенях 1520324 и 1551982. Исправления из бюллетеней 1520324 и 1551982 необходимы для реализации данного бюллетеня.
2. Используйте инструкции по исправлению ошибок, представленные в данном бюллетене. После этого, в вашей системе будет создана программа BSP_XSRF_PARAM_BC_BMT_WFM_2.
3. Запустите программу BSP_XSRF_PARAM_BC_BMT_WFM_2 и выберите транспортный запрос, когда это потребуется. Отчет задействует защиту от межсайтовой подмены запросов для приложений, которые соотнесены с данным бюллетенем.
------------------------------------------------------------------------
|Выполняется предварительно и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО SAP_BASIS SAP Basis compo...|
| Версия 620 SAPKB62069 - SAPKB62070 |
| Версия 640 SAPKB64025 - SAPKB64028 |
| Версия 700 SAPKB70021 - SAPKB70025 |
| Версия 701 SAPKB70106 - SAPKB70110 |
| Версия 702 SAPKB70206 - SAPKB70209 |
| Версия 731 без пакетов поддержки |
------------------------------------------------------------------------
Удалите тему ZMK_THEMA_TEST из BSP-приложения ABSENCEFORM_NEW. Для этого сделайте следующее:
Вызовите транзакцию SE80.
Вызовите BSP-приложение ABSENCEFORM_NEW.
Выберите закладку "Properties" ("Свойства").
В поле "Theme" удалите значение ZMK_THEMA_TEST, если оно существует.
Запустите BSP-приложение.
------------------------------------------------------------------------
|Выполняется после установки и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО SAP_BASIS SAP Basis compo...|
| Версия 640 SAPKB64025 - SAPKB64028 |
| Версия 700 SAPKB70021 - SAPKB70025 |
| Версия 710 SAPKB71009 - SAPKB71013 |
| Версия 711 SAPKB71104 - SAPKB71107 |
| Версия 701 SAPKB70106 - SAPKB70110 |
| Версия 702 SAPKB70206 - SAPKB70209 |
| Версия 730 SAPKB73001 - SAPKB73004 |
| Версия 720 SAPKB72004 - SAPKB72005 |
| Версия 731 без пакетов поддержки |
------------------------------------------------------------------------
Создайте вручную следующие сообщения T100 в классе сообщений SWN, если вы реализуете бюллетень, используя инструкции по исправлению ошибок. Для этого используйте транзакцию SE91:
Сообщение 166
- Краткий текст сообщения: Подтвердите свое решение для следующего рабочего элемента
- Сообщение не требует пояснений.
Сообщение 167
- Краткий текст сообщения: Вы выбрали следующие параметры решения: '&1'
- Сообщение не требует пояснений.
Сообщение 168
- Краткий текст сообщения: Подтвердить.
- Сообщение не требует пояснений.
Сообщение 169
- Краткий текст сообщения: Выполнение рабочего элемента прекращено пользователем.
- Сообщение не требует пояснений.
Сообщение 170
- Краткий текст сообщения: ID
- Сообщение не требует пояснений.
Сообщение 171
- Краткий текст сообщения: Информация о рабочем элементе
- Сообщение не требует пояснений.
Сообщение 172
- Краткий текст сообщения: Title (Заголовок)
- Сообщение не требует пояснений.
Примечание:
1. Дополнительную информацию и инструкции см. в бюллетенях 1520324 и 1551982. Исправления из бюллетеней 1520324 и 1551982 необходимы для реализации данного бюллетеня.
2. Используйте инструкции по исправлению ошибок, представленные в данном бюллетене. После этого, в вашей системе будет создана программа BSP_XSRF_PARAM_BC_BMT_WFM_2.
3. Запустите программу BSP_XSRF_PARAM_BC_BMT_WFM_2 и выберите транспортный запрос, когда это потребуется. Отчет задействует защиту от межсайтовой подмены запросов для приложений, которые соотнесены с данным бюллетенем.
------------------------------------------------------------------------
|Выполняется предварительно и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО SAP_BASIS SAP Basis compo...|
| Версия 620 SAPKB62069 - SAPKB62070 |
| Версия 640 SAPKB64025 - SAPKB64028 |
| Версия 700 SAPKB70021 - SAPKB70025 |
| Версия 701 SAPKB70106 - SAPKB70110 |
| Версия 702 SAPKB70206 - SAPKB70209 |
| Версия 731 без пакетов поддержки |
------------------------------------------------------------------------
Удалите тему ZMK_THEMA_TEST из BSP-приложения ABSENCEFORM_NEW. Для этого сделайте следующее:
Вызовите транзакцию SE80.
Вызовите BSP-приложение ABSENCEFORM_NEW.
Выберите закладку "Properties" ("Свойства").
В поле "Theme" удалите значение ZMK_THEMA_TEST, если оно существует.
Запустите BSP-приложение.
------------------------------------------------------------------------
|Выполняется после установки и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО SAP_BASIS SAP Basis compo...|
| Версия 640 SAPKB64025 - SAPKB64028 |
| Версия 700 SAPKB70021 - SAPKB70025 |
| Версия 710 SAPKB71009 - SAPKB71013 |
| Версия 711 SAPKB71104 - SAPKB71107 |
| Версия 701 SAPKB70106 - SAPKB70110 |
| Версия 702 SAPKB70206 - SAPKB70209 |
| Версия 730 SAPKB73001 - SAPKB73004 |
| Версия 720 SAPKB72004 - SAPKB72005 |
| Версия 731 без пакетов поддержки |
------------------------------------------------------------------------
Создайте вручную следующие сообщения T100 в классе сообщений SWN, если вы реализуете бюллетень, используя инструкции по исправлению ошибок. Для этого используйте транзакцию SE91:
Сообщение 166
- Краткий текст сообщения: Подтвердите свое решение для следующего рабочего элемента
- Сообщение не требует пояснений.
Сообщение 167
- Краткий текст сообщения: Вы выбрали следующие параметры решения: '&1'
- Сообщение не требует пояснений.
Сообщение 168
- Краткий текст сообщения: Подтвердить.
- Сообщение не требует пояснений.
Сообщение 169
- Краткий текст сообщения: Выполнение рабочего элемента прекращено пользователем.
- Сообщение не требует пояснений.
Сообщение 170
- Краткий текст сообщения: ID
- Сообщение не требует пояснений.
Сообщение 171
- Краткий текст сообщения: Информация о рабочем элементе
- Сообщение не требует пояснений.
Сообщение 172
- Краткий текст сообщения: Title (Заголовок)
- Сообщение не требует пояснений.
Ссылки
