Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
SAP Notes
(1607749-6)
SAP Support Packages
(SAPK-60029INISH, SAPK-60218INISH, SAPK-60317INISH, SAPK-60417INISH, SAPK-60509INISH, SAPKIPHD59, SAPKIPHF45)
Описание
Исправление для программной части из инструкции по исправлению ошибок является необходимым для исправления других программ, которые содержат уязвимость, позволяющую злоумышленникам просматривать произвольные файлы на удаленном сервере, получая таким образом доступ к конфиденциальной информации.
Исправление для программной части из инструкции по исправлению ошибок является необходимым для исправления других программ, которые содержат уязвимость, позволяющую злоумышленникам записывать произвольные файлы на удаленный сервер, повреждая тем самым данные или изменяя поведение системы.
Исправление для программной части из инструкции по исправлению ошибок является необходимым для исправления других программ, которые содержат уязвимость, позволяющую злоумышленникам записывать произвольные файлы на удаленный сервер, повреждая тем самым данные или изменяя поведение системы.
Как исправить
Дополнительную информацию и инструкции см. в бюллетене 1497003. Для реализации данного бюллетеня необходимо внести исправления, указанные в бюллетене 1497003.
Логические имена файлов из данного решения, имеющие отношение к EDI-процедуре:
Логическое имя файла Описание логического имени файла
----------------------------------------------------------
ISH_EDI_CCPS Проверка EDI-процедуры SG: "CCPS"
ISH_EDI_CHCOV Проверка EDI-процедуры CH: "CHCOV"
ISH_EDI_DALE Проверка EDI-процедуры DE: "DALE"
IISH_EDI_EDHON Проверка EDI-процедуры AT: "EDHON"
ISH_EDI_EDIEO Проверка EDI-процедуры CH: "EDIEO"
ISH_EDI_EDISV Проверка EDI-процедуры CH: "EDISV"
ISH_EDI_EDKOS Проверка EDI-процедуры AT: "EDKOS"
ISH_EDI_EDLEI Проверка EDI-процедуры AT: "EDLEI"
ISH_EDI_ELACH Проверка EDI-процедуры CH: "ELACH"
ISH_EDI_ELDAA Проверка EDI-процедуры AT: "ELDAA"
ISH_EDI_ELDAL Проверка EDI-процедуры AT: "ELDAL"
ISH_EDI_EOXML Проверка EDI-процедуры CH: "EOXML"
ISH_EDI_FRACE Проверка EDI-процедуры FR: "FRACE"
ISH_EDI_FRB2 Проверка EDI-процедуры FR: "FRB2"
ISH_EDI_FRFPO Проверка EDI-процедуры FR: "FRFPO"
ISH_EDI_FRFST Проверка EDI-процедуры FR: "FRFST"
ISH_EDI_FRFXI Проверка EDI-процедуры FR: "FRFXI"
ISH_EDI_FRLPP Проверка EDI-процедуры FR: "FRLPP"
ISH_EDI_FRRSF Проверка EDI-процедуры FR: "FRRSF"
ISH_EDI_FRRSP Проверка EDI-процедуры FR: "FRRSP"
ISH_EDI_FRRSS Проверка EDI-процедуры FR: "FRRSS"
ISH_EDI_FRUCD Проверка EDI-процедуры FR: "FRUCD"
ISH_EDI_FRVID Проверка EDI-процедуры FR: "FRVID"
ISH_EDI_INXML Проверка EDI-процедуры CH: "INXML"
ISH_EDI_KOGU Проверка EDI-процедуры CH: "KOGU"
ISH_EDI_MRUC Проверка EDI-процедуры DE: "MRUC"
ISH_EDI_P301 Проверка EDI-процедуры DE: "P301"
ISH_EDI_P302 Проверка EDI-процедуры DE: "P302"
ISH_EDI_P321 Проверка EDI-процедуры AT: "P321"
ISH_EDI_SCO04 Проверка EDI-процедуры AT: "SCO04"
ISH_EDI_SCOAD Проверка EDI-процедуры AT: "SCOAD"
ISH_EDI_SCORE Проверка EDI-процедуры AT: "SCORE"
ISH_EDI_SGDRG Проверка EDI-процедуры SG: "SGDRG"
ISH_EDI_WRADM Проверка EDI-процедуры CH: "WRADM"
Также имеются дополнительные имена файлов, основанные на именах программ и перечисленные в соответствующих бюллетенях.
Следующие логические имена файлов были созданы для проверки достоверности имен физических файлов:
Рекомендации по созданию логических имен файлов.
Чтобы избежать большого количества логических имен файлов, некоторые программы используют одно общее логическое имя.
Использование одного логического имени файла для разных программ создает зависимости между этими программами. Чтобы разграничить данные, созданные разными пользователями и программами, попробуйте создать структуру каталогов, которая будет отражать имя пользователя и/или программы, а затем используйте эту информацию при указании физического пути и имен файлов для логических путей и имен файлов.
------------------------------------------------------------------------
|Предустановочные действия. |
------------------------------------------------------------------------
|Действительно для |
|Компонент ПО IS-H IS-Hospital |
| Версия 463B До SAPKIPHD58 |
------------------------------------------------------------------------
Создайте сообщение N0 299:
Вызовите транзакцию SE91.
Введите "N0" в поле "Message class" ("класс сообщения").
Введите "299" в поле "Number" ("номер").
Выберите 'Change' ("изменить").
В поле "Message short text" ("краткий текст сообщения") для сообщения 299 введите следующий текст: "Error when validating directory/file name &1" ("ошибка при проверке имени каталога/файла &1").
Сохраните изменения.
------------------------------------------------------------------------
|Предустановочные действия. |
------------------------------------------------------------------------
|Действительно для |
|Компонент ПО IS-H IS-Hospital |
| Версия 463B До SAPKIPHD58 |
------------------------------------------------------------------------
Вызовите транзакцию SE37.
В поле 'Function Module' ("функциональный модуль") введите значение ISH_FILE_VALIDATE_NAME.
Выберите 'Change' ("изменить").
Выберите закладку 'Import' ("импортировать").
Создайте четыре новых параметра:
Имя параметра/Тип/Ассоциированный тип/Выбор опции/Краткий текст
"I_EDIPROC"/"TYPE"/"N_EDIPROC"/Select checkbox/"ISHCM EDI Procedure"
"I_LOGICAL_FILENAME"/"TYPE"/"FILEINTERN"/Select checkbox/"Logical file name"
("логическое имя файла")
"I_FORCE_REPNAME_CHECK_FLAG"/"TYPE"/"ISH_ON_OFF"/Select checkbox/"Indicator for whether report name should also be checked"
("признак необходимости проверки имени отчета")
"I_PATHONLY_FLAG"/"TYPE"/"ISH_ON_OFF"/Select checkbox/"Indicator that only a path name has been transferred"
("признак того, что передано только имя пути")
Сохраните и примените внесенные изменения.
Логические имена файлов из данного решения, имеющие отношение к EDI-процедуре:
Логическое имя файла Описание логического имени файла
----------------------------------------------------------
ISH_EDI_CCPS Проверка EDI-процедуры SG: "CCPS"
ISH_EDI_CHCOV Проверка EDI-процедуры CH: "CHCOV"
ISH_EDI_DALE Проверка EDI-процедуры DE: "DALE"
IISH_EDI_EDHON Проверка EDI-процедуры AT: "EDHON"
ISH_EDI_EDIEO Проверка EDI-процедуры CH: "EDIEO"
ISH_EDI_EDISV Проверка EDI-процедуры CH: "EDISV"
ISH_EDI_EDKOS Проверка EDI-процедуры AT: "EDKOS"
ISH_EDI_EDLEI Проверка EDI-процедуры AT: "EDLEI"
ISH_EDI_ELACH Проверка EDI-процедуры CH: "ELACH"
ISH_EDI_ELDAA Проверка EDI-процедуры AT: "ELDAA"
ISH_EDI_ELDAL Проверка EDI-процедуры AT: "ELDAL"
ISH_EDI_EOXML Проверка EDI-процедуры CH: "EOXML"
ISH_EDI_FRACE Проверка EDI-процедуры FR: "FRACE"
ISH_EDI_FRB2 Проверка EDI-процедуры FR: "FRB2"
ISH_EDI_FRFPO Проверка EDI-процедуры FR: "FRFPO"
ISH_EDI_FRFST Проверка EDI-процедуры FR: "FRFST"
ISH_EDI_FRFXI Проверка EDI-процедуры FR: "FRFXI"
ISH_EDI_FRLPP Проверка EDI-процедуры FR: "FRLPP"
ISH_EDI_FRRSF Проверка EDI-процедуры FR: "FRRSF"
ISH_EDI_FRRSP Проверка EDI-процедуры FR: "FRRSP"
ISH_EDI_FRRSS Проверка EDI-процедуры FR: "FRRSS"
ISH_EDI_FRUCD Проверка EDI-процедуры FR: "FRUCD"
ISH_EDI_FRVID Проверка EDI-процедуры FR: "FRVID"
ISH_EDI_INXML Проверка EDI-процедуры CH: "INXML"
ISH_EDI_KOGU Проверка EDI-процедуры CH: "KOGU"
ISH_EDI_MRUC Проверка EDI-процедуры DE: "MRUC"
ISH_EDI_P301 Проверка EDI-процедуры DE: "P301"
ISH_EDI_P302 Проверка EDI-процедуры DE: "P302"
ISH_EDI_P321 Проверка EDI-процедуры AT: "P321"
ISH_EDI_SCO04 Проверка EDI-процедуры AT: "SCO04"
ISH_EDI_SCOAD Проверка EDI-процедуры AT: "SCOAD"
ISH_EDI_SCORE Проверка EDI-процедуры AT: "SCORE"
ISH_EDI_SGDRG Проверка EDI-процедуры SG: "SGDRG"
ISH_EDI_WRADM Проверка EDI-процедуры CH: "WRADM"
Также имеются дополнительные имена файлов, основанные на именах программ и перечисленные в соответствующих бюллетенях.
Следующие логические имена файлов были созданы для проверки достоверности имен физических файлов:
Рекомендации по созданию логических имен файлов.
Чтобы избежать большого количества логических имен файлов, некоторые программы используют одно общее логическое имя.
Использование одного логического имени файла для разных программ создает зависимости между этими программами. Чтобы разграничить данные, созданные разными пользователями и программами, попробуйте создать структуру каталогов, которая будет отражать имя пользователя и/или программы, а затем используйте эту информацию при указании физического пути и имен файлов для логических путей и имен файлов.
------------------------------------------------------------------------
|Предустановочные действия. |
------------------------------------------------------------------------
|Действительно для |
|Компонент ПО IS-H IS-Hospital |
| Версия 463B До SAPKIPHD58 |
------------------------------------------------------------------------
Создайте сообщение N0 299:
Вызовите транзакцию SE91.
Введите "N0" в поле "Message class" ("класс сообщения").
Введите "299" в поле "Number" ("номер").
Выберите 'Change' ("изменить").
В поле "Message short text" ("краткий текст сообщения") для сообщения 299 введите следующий текст: "Error when validating directory/file name &1" ("ошибка при проверке имени каталога/файла &1").
Сохраните изменения.
------------------------------------------------------------------------
|Предустановочные действия. |
------------------------------------------------------------------------
|Действительно для |
|Компонент ПО IS-H IS-Hospital |
| Версия 463B До SAPKIPHD58 |
------------------------------------------------------------------------
Вызовите транзакцию SE37.
В поле 'Function Module' ("функциональный модуль") введите значение ISH_FILE_VALIDATE_NAME.
Выберите 'Change' ("изменить").
Выберите закладку 'Import' ("импортировать").
Создайте четыре новых параметра:
Имя параметра/Тип/Ассоциированный тип/Выбор опции/Краткий текст
"I_EDIPROC"/"TYPE"/"N_EDIPROC"/Select checkbox/"ISHCM EDI Procedure"
"I_LOGICAL_FILENAME"/"TYPE"/"FILEINTERN"/Select checkbox/"Logical file name"
("логическое имя файла")
"I_FORCE_REPNAME_CHECK_FLAG"/"TYPE"/"ISH_ON_OFF"/Select checkbox/"Indicator for whether report name should also be checked"
("признак необходимости проверки имени отчета")
"I_PATHONLY_FLAG"/"TYPE"/"ISH_ON_OFF"/Select checkbox/"Indicator that only a path name has been transferred"
("признак того, что передано только имя пути")
Сохраните и примените внесенные изменения.
Ссылки
