Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
SAP Notes
(1601155-1)
SAP Support Packages
(CRM_IPC_MOBILE_701_SP004_000003, CRM_IPC_MOBILE_701_SP999999_999999, CRM_IPC_MOBILE_SERV_EXT_701_SP004_000003, CRM_IPC_MOBILE_SERV_EXT_701_SP999999_999999, CRM_JAVA_APPLICATIONS_50_SP018_000016, CRM_JAVA_APPLICATIONS_50_SP999999_999999, CRM_JAVA_APPLICATIONS_60_SP008_000012, CRM_JAVA_APPLICATIONS_60_SP999999_999999, CRM_JAVA_APPLICATIONS_70_SP009_000010, CRM_JAVA_APPLICATIONS_70_SP999999_999999, CRM_JAVA_APPLICATIONS_701_SP004_000003, CRM_JAVA_APPLICATIONS_701_SP999999_999999, CRM_JAVA_COMPONENTS_50_SP018_000016, CRM_JAVA_COMPONENTS_50_SP999999_999999, CRM_JAVA_COMPONENTS_60_SP008_000012, CRM_JAVA_COMPONENTS_60_SP999999_999999, CRM_JAVA_COMPONENTS_70_SP009_000010, CRM_JAVA_COMPONENTS_70_SP999999_999999, CRM_JAVA_COMPONENTS_701_SP004_000003, CRM_JAVA_COMPONENTS_701_SP999999_999999, CRM_JAVA_WEB_COMPONENTS_50_SP018_000016, CRM_JAVA_WEB_COMPONENTS_50_SP999999_999999, CRM_JAVA_WEB_COMPONENTS_60_SP008_000012, CRM_JAVA_WEB_COMPONENTS_60_SP999999_999999, CRM_JAVA_WEB_COMPONENTS_70_SP009_000010, CRM_JAVA_WEB_COMPONENTS_70_SP999999_999999, CRM_JAVA_WEB_COMPONENTS_701_SP004_000003, CRM_JAVA_WEB_COMPONENTS_701_SP999999_999999, SAP_JAVA_DATA_DICTIONARY_701_SP004_000003, SAP_JAVA_DATA_DICTIONARY_701_SP999999_999999, SAP_SHARED_JAVA_APPLIC_50_SP018_000016, SAP_SHARED_JAVA_APPLIC_50_SP999999_999999, SAP_SHARED_JAVA_APPLIC_60_SP008_000012, SAP_SHARED_JAVA_APPLIC_60_SP999999_999999, SAP_SHARED_JAVA_APPLIC_70_SP009_000010, SAP_SHARED_JAVA_APPLIC_70_SP999999_999999, SAP_SHARED_JAVA_APPLIC_701_SP004_000003, SAP_SHARED_JAVA_APPLIC_701_SP999999_999999, SAP_SHARED_JAVA_COMP_701_SP004_000003, SAP_SHARED_JAVA_COMP_701_SP999999_999999, SAP_SHARED_JAVA_COMPONENTS_50_SP018_000016, SAP_SHARED_JAVA_COMPONENTS_50_SP999999_999999, SAP_SHARED_JAVA_COMPONENTS_60_SP008_000012, SAP_SHARED_JAVA_COMPONENTS_60_SP999999_999999, SAP_SHARED_JAVA_COMPONENTS_70_SP009_000010, SAP_SHARED_JAVA_COMPONENTS_70_SP999999_999999, SAP_SHARED_WEB_COMPONENTS_50_SP018_000016, SAP_SHARED_WEB_COMPONENTS_50_SP999999_999999, SAP_SHARED_WEB_COMPONENTS_60_SP008_000012, SAP_SHARED_WEB_COMPONENTS_60_SP999999_999999, SAP_SHARED_WEB_COMPONENTS_70_SP009_000010, SAP_SHARED_WEB_COMPONENTS_70_SP999999_999999, SAP_SHARED_WEB_COMPONENTS_701_SP004_000003, SAP_SHARED_WEB_COMPONENTS_701_SP999999_999999)
Описание
Страница обслуживания Web Channel E-Commerce ShopAdmins в CRM-ISA-SHA некорректно кодирует параметры вывода (OUTPUT), что позволяет осуществить отраженное межсайтовое выполнение сценариев. Отраженное межсайтовое выполнение сценариев может быть использовано для временного искажения или изменения отображаемого содержимого веб-сайта.
Отраженное межсайтовое выполнение сценариев позволяет получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии. Злоумышленник, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Отраженное межсайтовое выполнение сценариев позволяет получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии. Злоумышленник, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Как исправить
Данный бюллетень содержит Java-исправление(я) для E-Commerce и Web Channel.
Программный компонент: SAP-SHRWEB
Компонент разработки: sap.com/crm/isa/web/shopadmin
Измененный файл: maintainshop.jsp
Установите пакет исправлений, прилагаемый к данному бюллетеню.
Более подробную информацию о реализации Java-исправлений см. в бюллетене 877887.
Для получения информации о правилах предоставления исправлений см. бюллетень 1546959.
Программный компонент: SAP-SHRWEB
Компонент разработки: sap.com/crm/isa/web/shopadmin
Измененный файл: maintainshop.jsp
Установите пакет исправлений, прилагаемый к данному бюллетеню.
Более подробную информацию о реализации Java-исправлений см. в бюллетене 877887.
Для получения информации о правилах предоставления исправлений см. бюллетень 1546959.
Ссылки
