Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
SAP Notes
(1607299-2)
SAP Support Packages
(SAPKB64029, SAPKB70026, SAPKB70111, SAPKB70210, SAPKB71014, SAPKB71108, SAPKB73005, SAPKB73101)
Описание
Страницы в PI Demo Examples некорректно кодируют параметры вывода (OUTPUT), что позволяет осуществить отраженное межсайтовое выполнение сценариев. Отраженное межсайтовое выполнение сценариев может быть использовано для временного искажения или изменения отображаемого содержимого веб-сайта.
Отраженное межсайтовое выполнение сценариев позволяет получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии. Злоумышленник, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Отраженное межсайтовое выполнение сценариев позволяет получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии. Злоумышленник, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Как исправить
Приложение PI Demo Application по умолчанию отключено, поэтому доступ к нему полностью заблокирован. Пользователь может выполнить эти страницы, только если заданы PI demo examples, что не допустимо в производственных системах.
В качестве решения данной проблемы можно использовать отключение приложения demo application в транзакции SICF, которое по умолчанию отключено. После этого доступ к страницам при помощи URL-адреса становится невозможным.
Импортируйте соответствующий пакет поддержки или используйте инструкции по исправлению ошибок, представленные в данном бюллетене.
Для реализации данного бюллетеня необходимо внести исправления, указанные в бюллетене 822881.
Сначала необходимо удалить данные о пользователе и пароле для данного приложения в транзакции SICF; требуется ввод информации о клиенте (105).
В качестве решения данной проблемы можно использовать отключение приложения demo application в транзакции SICF, которое по умолчанию отключено. После этого доступ к страницам при помощи URL-адреса становится невозможным.
Импортируйте соответствующий пакет поддержки или используйте инструкции по исправлению ошибок, представленные в данном бюллетене.
Для реализации данного бюллетеня необходимо внести исправления, указанные в бюллетене 822881.
Сначала необходимо удалить данные о пользователе и пароле для данного приложения в транзакции SICF; требуется ввод информации о клиенте (105).
Ссылки
