Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
SAP Notes
(1607014-1)
SAP Support Packages
(SAPKB64029, SAPKB70026, SAPKB70111, SAPKB70210, SAPKB71014, SAPKB71109, SAPKB73005, SAPKB73101)
Описание
PI Demo Example выполняет определенные функции (доступ к определенным таблицам БД с образцами данных), переходя по специальным URL-адресам. Если злоумышленник заставит браузер пользователя, прошедшего аутентификацию, сделать запрос, содержащий определенный URL-адрес и специальные параметры, то функция будет выполнена с правами пользователя, прошедшего аутентификацию.
Для этого злоумышленник может использовать межсайтовое выполнение сценариев или ссылку, отправленную пользователю.
Для этого злоумышленник может использовать межсайтовое выполнение сценариев или ссылку, отправленную пользователю.
Как исправить
Приложение PI Demo Application по умолчанию отключено, поэтому доступ к нему полностью заблокирован. Пользователь может выполнить функции без прохождения процедуры аутентификации и авторизации, только если заданы PI demo examples, что не допустимо в производственных системах.
В качестве решения данной проблемы можно использовать отключение demo application в транзакции SICF. После этого доступ к приложению при помощи URL-адреса становится невозможным.
В противном случае необходимо импортировать соответствующий пакет поддержки или использовать инструкции по исправлению ошибок, а затем удалить данные о пользователе и пароле для данного приложения в транзакции SICF; требуется ввод информации о клиенте (105).
Примечание:
1. Дополнительную информацию и рекомендации см. в бюллетенях 1520324 и 1551982. Исправления из бюллетеней 1520324 и 1551982 необходимы для реализации данного бюллетеня.
2. Используйте инструкции по исправлению ошибок, представленные в данном бюллетене. После этого, в вашей системе будет создана программа BSP_XSRF_PARAM_SXIDEMO.
3. Запустите программу BSP_XSRF_PARAM_SXIDEMO и выберите транспортный запрос, когда это потребуется. Программа создаст необходимые записи для приложения BSP, которые будут соотнесены с данным бюллетенем в таблице BSPTEMPXSRFSTORE базы данных.
В качестве решения данной проблемы можно использовать отключение demo application в транзакции SICF. После этого доступ к приложению при помощи URL-адреса становится невозможным.
В противном случае необходимо импортировать соответствующий пакет поддержки или использовать инструкции по исправлению ошибок, а затем удалить данные о пользователе и пароле для данного приложения в транзакции SICF; требуется ввод информации о клиенте (105).
Примечание:
1. Дополнительную информацию и рекомендации см. в бюллетенях 1520324 и 1551982. Исправления из бюллетеней 1520324 и 1551982 необходимы для реализации данного бюллетеня.
2. Используйте инструкции по исправлению ошибок, представленные в данном бюллетене. После этого, в вашей системе будет создана программа BSP_XSRF_PARAM_SXIDEMO.
3. Запустите программу BSP_XSRF_PARAM_SXIDEMO и выберите транспортный запрос, когда это потребуется. Программа создаст необходимые записи для приложения BSP, которые будут соотнесены с данным бюллетенем в таблице BSPTEMPXSRFSTORE базы данных.
Ссылки
