Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
SAP Notes
(1601535-1)
SAP Support Packages
(SAPKB62072, SAPKB64029, SAPKB70026, SAPKB70111, SAPKB70211, SAPKB71014, SAPKB71109, SAPKB72007, SAPKB73007, SAPKB73101, SAPKB73102, SAPKB73103)
Описание
При отображении документов в SAPoffice (например, в транзакциях SBWP, SOIN и SOST) возможно межсайтовое выполнение сценариев.
Межсайтовое выполнение сценариев позволяет изменить отображаемое содержимое документа и внедрить содержимое, которое будет автоматически отображаться для всех потенциальных жертв.
Межсайтовое выполнение сценариев также позволяет получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии.
Злоумышленник, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Межсайтовое выполнение сценариев позволяет изменить отображаемое содержимое документа и внедрить содержимое, которое будет автоматически отображаться для всех потенциальных жертв.
Межсайтовое выполнение сценариев также позволяет получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии.
Злоумышленник, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Как исправить
Примените исправления, используя Note Assistant, или импортируйте соответствующий пакет поддержки.
После этого становится доступна функция фильтрации HTML-документов до их отображения в Business Workplace, в транзакциях SOST или SOIN. Данная функция позволяет отфильтровать документы, которые могут представлять угрозу безопасности. Это может привести к ограничению функций или форматированию документа.
В Версии 7.30 и ниже функция фильтрации отключена (OFF) по умолчанию. В Версии 7.31 и выше функция фильтрации включена (ON) по умолчанию.
Для изменения настроек фильтрации используйте следующий параметр таблицы SXPARAMS:
Параметр: HTML_FILTER_FOR_DISPLAY
Значения: 'ON', 'OFF' или 'USER'
Для включения или отключения фильтра используйте значения 'ON' и 'OFF'. Фильтр также активируется при установке значения 'USER'. Установка данного значения также позволяет пользователю просматривать оригинал документа (т.е. без фильтрации) в окне просмотра документов.
Если параметр HTML_FILTER_FOR_DISPLAY не указан в таблице SXPARAMS, то применяются значения по умолчанию, описанные выше.
------------------------------------------------------------------------
|Выполняется предварительно и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО SAP_BASIS SAP Basis compo...|
| Версия 620 SAPKB62068 - SAPKB62071 |
| Версия 640 SAPKB64021 - SAPKB64028 |
| Версия 700 SAPKB70012 - SAPKB70025 |
| Версия 710 SAPKB71003 - SAPKB71013 |
| Версия 711 SAPKB71101 - SAPKB71108 |
| Версия 701 SAPKB70101 - SAPKB70110 |
| Версия 702 SAPKB70201 - SAPKB70210 |
| Версия 730 SAPKB73001 - SAPKB73006 |
| Версия 720 SAPKB72002 - SAPKB72006 |
| Версия 731 SAPKB73101 - SAPKB73101 |
------------------------------------------------------------------------
Перед реализацией данного бюллетеня необходимо выполнить следующие действия:
1. Создайте документ.
a) Вызовите транзакцию SE61.
b) Используйте справку (F4), чтобы выбрать класс документов 'Dialog Text' ("текст диалога").
c) Задайте текст диалога SO_SUPPRESS_HTML_FILTER.
d) Создайте
e) Введите следующий текст:
'The document was changed due to security requirements. The contents could potentially be critical. Ensure that the document comes from a trusted source'. ('Документ изменен в соответствии с требованиями безопасности. Содержимое может быть критичным. Убедитесь, что документ получен из проверенного источника')
f) Сохраните и примените внесенные изменения.
2. Создайте статус DISP2 в функциональной группе SO33.
a) Вызовите транзакцию SE41.
b) Выберите программу SAPLSO33.
c) Выберите опцию 'Status' ('Статус').
d) Введите статус 'DISP'.
e) Выберите 'Copy Status' ('Копировать статус').
f) Создайте следующий статус:
Программа: SAPLSO33
Статус: DISP2
g) Выберите 'Copy' ('Копировать').
h) В диалоговом окне 'Copy Status' выберите 'Partly the same sub-objects and partly copies of sub-objects' ('Частично похожие подобъекты и частичные копии подобъектов').
i) Установите флажки для следующих подобъектов:
Панели меню и Меню
Назначение функциональных клавиш и Панель инструментов
Панель инструментов
j) Выберите 'Copy' ('Копировать').
k) Выберите 'Continue/Copy' ('Продолжить/Копировать') в последующих диалоговых окнах.
l) Затем вызовите транзакцию SE41, введите статус DISP2 и запустите режим правки.
m) Разверните строку 'Application Toolbar'.
n) Наведите курсор на разделитель в левой части поля 'REPL'.
o) Выберите 'Insert Entry' ("добавить запись").
p) В новом поле введите код функции 'TOGG'.
q) Дважды нажмите на 'TOGG'.
r) Выберите функциональную клавишу 'Ctrl + F10'.
s) В диалоговом окне 'Function Attributes' ("атрибуты функции") введите следующее:
Текст функции: Change Document View ("Изменить вид документа")
Название пиктограммы: ICON_INTERCHANGE
t) Выберите 'Continue' ('Продолжить').
u) Сохраните и примените внесенные изменения.
3. Введите текстовые переменные в программе SAPLSO33.
a) Запустите транзакцию SE38.
b) Программа: SAPLSO33
c) Отобразить
d) Выберите "Goto -> Text elements -> Text symbols" ("Перейти" -> "Текстовые элементы" -> "СимволыТекстПеременн").
e) Переключитесь в режим правки.
f) Добавьте следующие текстовые элементы:
410 Change Document View ("Изменить вид документа")
411 Do you want to display the original document version? ("Отображать оригинал документа?")
g) Сохраните и примените внесенные изменения.
После этого становится доступна функция фильтрации HTML-документов до их отображения в Business Workplace, в транзакциях SOST или SOIN. Данная функция позволяет отфильтровать документы, которые могут представлять угрозу безопасности. Это может привести к ограничению функций или форматированию документа.
В Версии 7.30 и ниже функция фильтрации отключена (OFF) по умолчанию. В Версии 7.31 и выше функция фильтрации включена (ON) по умолчанию.
Для изменения настроек фильтрации используйте следующий параметр таблицы SXPARAMS:
Параметр: HTML_FILTER_FOR_DISPLAY
Значения: 'ON', 'OFF' или 'USER'
Для включения или отключения фильтра используйте значения 'ON' и 'OFF'. Фильтр также активируется при установке значения 'USER'. Установка данного значения также позволяет пользователю просматривать оригинал документа (т.е. без фильтрации) в окне просмотра документов.
Если параметр HTML_FILTER_FOR_DISPLAY не указан в таблице SXPARAMS, то применяются значения по умолчанию, описанные выше.
------------------------------------------------------------------------
|Выполняется предварительно и вручную. |
------------------------------------------------------------------------
|ДЕЙСТВИТЕЛЬНО ДЛЯ |
|Компонент ПО SAP_BASIS SAP Basis compo...|
| Версия 620 SAPKB62068 - SAPKB62071 |
| Версия 640 SAPKB64021 - SAPKB64028 |
| Версия 700 SAPKB70012 - SAPKB70025 |
| Версия 710 SAPKB71003 - SAPKB71013 |
| Версия 711 SAPKB71101 - SAPKB71108 |
| Версия 701 SAPKB70101 - SAPKB70110 |
| Версия 702 SAPKB70201 - SAPKB70210 |
| Версия 730 SAPKB73001 - SAPKB73006 |
| Версия 720 SAPKB72002 - SAPKB72006 |
| Версия 731 SAPKB73101 - SAPKB73101 |
------------------------------------------------------------------------
Перед реализацией данного бюллетеня необходимо выполнить следующие действия:
1. Создайте документ.
a) Вызовите транзакцию SE61.
b) Используйте справку (F4), чтобы выбрать класс документов 'Dialog Text' ("текст диалога").
c) Задайте текст диалога SO_SUPPRESS_HTML_FILTER.
d) Создайте
e) Введите следующий текст:
'The document was changed due to security requirements. The contents could potentially be critical. Ensure that the document comes from a trusted source'. ('Документ изменен в соответствии с требованиями безопасности. Содержимое может быть критичным. Убедитесь, что документ получен из проверенного источника')
f) Сохраните и примените внесенные изменения.
2. Создайте статус DISP2 в функциональной группе SO33.
a) Вызовите транзакцию SE41.
b) Выберите программу SAPLSO33.
c) Выберите опцию 'Status' ('Статус').
d) Введите статус 'DISP'.
e) Выберите 'Copy Status' ('Копировать статус').
f) Создайте следующий статус:
Программа: SAPLSO33
Статус: DISP2
g) Выберите 'Copy' ('Копировать').
h) В диалоговом окне 'Copy Status' выберите 'Partly the same sub-objects and partly copies of sub-objects' ('Частично похожие подобъекты и частичные копии подобъектов').
i) Установите флажки для следующих подобъектов:
Панели меню и Меню
Назначение функциональных клавиш и Панель инструментов
Панель инструментов
j) Выберите 'Copy' ('Копировать').
k) Выберите 'Continue/Copy' ('Продолжить/Копировать') в последующих диалоговых окнах.
l) Затем вызовите транзакцию SE41, введите статус DISP2 и запустите режим правки.
m) Разверните строку 'Application Toolbar'.
n) Наведите курсор на разделитель в левой части поля 'REPL'.
o) Выберите 'Insert Entry' ("добавить запись").
p) В новом поле введите код функции 'TOGG'.
q) Дважды нажмите на 'TOGG'.
r) Выберите функциональную клавишу 'Ctrl + F10'.
s) В диалоговом окне 'Function Attributes' ("атрибуты функции") введите следующее:
Текст функции: Change Document View ("Изменить вид документа")
Название пиктограммы: ICON_INTERCHANGE
t) Выберите 'Continue' ('Продолжить').
u) Сохраните и примените внесенные изменения.
3. Введите текстовые переменные в программе SAPLSO33.
a) Запустите транзакцию SE38.
b) Программа: SAPLSO33
c) Отобразить
d) Выберите "Goto -> Text elements -> Text symbols" ("Перейти" -> "Текстовые элементы" -> "СимволыТекстПеременн").
e) Переключитесь в режим правки.
f) Добавьте следующие текстовые элементы:
410 Change Document View ("Изменить вид документа")
411 Do you want to display the original document version? ("Отображать оригинал документа?")
g) Сохраните и примените внесенные изменения.
Ссылки
