Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
SAP Notes
(1609552-4)
SAP Support Packages
(SAPKA64029, SAPKA70026, SAPKA70111, SAPKA70210, SAPKA71014, SAPKA71108, SAPKA71109, SAPKA72006, SAPKA72007, SAPKA73005)
Описание
Страницы BSP в CA-GTF-RCM могут содержать коды, позволяющие реализовать хранимую XSS-атаку.
Уязвимость позволяет злоумышленнику внедрить на веб-сайт содержимое, которое будет автоматически отображаться для всех потенциальных жертв.
Хранимые на сайте коды, использующиеся для межсайтового выполнения сценариев, позволяют получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии.
Злоумышленник, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Уязвимость позволяет злоумышленнику внедрить на веб-сайт содержимое, которое будет автоматически отображаться для всех потенциальных жертв.
Хранимые на сайте коды, использующиеся для межсайтового выполнения сценариев, позволяют получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии.
Злоумышленник, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Как исправить
Реализуйте бюллетень 1582870, а затем данный бюллетень.
------------------------------------------------------------------------
|Предустановочные действия. |
------------------------------------------------------------------------
|Действительно для |
|Компонент ПО SAP_ABA SAP Application...|
| Версия 640 До SAPKA64012 |
------------------------------------------------------------------------
Чтобы устранить уязвимость, для каждой из представленных ниже страниц BSP выполните следующие действия:
Приложение BSP Страница BSP
------------------- -----------------
RMPSPB_CASE CASE.HTM
RMPSPB_CASE ERROR.HTM
RMPSPB_CASE NO_BSP_IMP.HTM
RMPSPB_CASE PROCESS.HTM
RMPSPB_CASENOTE ERROR.HTM
RMPSPB_CASENOTE NOTES.HTM
RMPSPB_CASENOTE VALIDATE.JS
SRMPS_BROWSER RECORDSBROWSER.HTM
SRMPS_HISTORY ERROR.HTM
SRMPS_HISTORY HISTORY.HTM
SRMPS_METADATA CHANGEMETADATA.HTM
SRMPS_METADATA ERROR.HTM
SRMPS_METADATA INITIAL.HTM
SRMPS_METADATA METADATA.HTM
SRMPS_METADATA UPDATED.HTM
SRMPS_SEARCH ERROR.HTM
SRMPS_SEARCH RESULTS1.HTM
SRMPS_SEARCH SEARCH.HTM
Действия по исправлению:
1. Выполните SE80.
2. Выберите 'BSP Application' ("Приложение BSP") в выпадающем меню и введите имя приложения в окошке снизу (например, RMPSPB_CASE), а затем нажмите.
3. Выберите узел приложения и нажмите кнопку 'Expand all' ("Показать все"), чтобы развернуть дерево приложения.
4. Страницы BSP будут находиться в папке 'Views', 'Pages with flow logic' или 'Page fragments'.
5. Дважды нажмите на странице, которую необходимо изменить (см. название страницы BSP соответствующее приложению в вышеприведенном списке), а затем при помощи кнопки 'display<->change' ("отобразить-изменить") перейдите в режим правки.
6. Перейдите на закладку 'Layout' и замените следующее выражение (оно будет первым в списке)
<%@page language="abap"%>
на выражение
<%@page language="abap" forceEncode="html"%>
7. Сохраните изменения и активируйте страницу.
------------------------------------------------------------------------
|Предустановочные действия. |
------------------------------------------------------------------------
|Действительно для |
|Компонент ПО SAP_ABA SAP Application...|
| Версия 640 До SAPKA64028 |
| Версия 700 SAPKA70004 - SAPKA70025 |
| Версия 710 До SAPKA71013 |
| Версия 711 SAPKA71101 - SAPKA71107 |
| Версия 701 До SAPKA70110 |
| Версия 702 SAPKA70201 - SAPKA70209 |
| Версия 720 SAPKA72002 - SAPKA72005 |
| Версия 730 SAPKA73001 - SAPKA73004 |
------------------------------------------------------------------------
Перед реализацией данного бюллетеня необходимо удостовериться, что в вашей системе установлены исправления из бюллетеня 1582870.
------------------------------------------------------------------------
|Предустановочные действия. |
------------------------------------------------------------------------
|Действительно для |
|Компонент ПО SAP_ABA SAP Application...|
| Версия 640 До SAPKA64012 |
------------------------------------------------------------------------
Чтобы устранить уязвимость, для каждой из представленных ниже страниц BSP выполните следующие действия:
Приложение BSP Страница BSP
------------------- -----------------
RMPSPB_CASE CASE.HTM
RMPSPB_CASE ERROR.HTM
RMPSPB_CASE NO_BSP_IMP.HTM
RMPSPB_CASE PROCESS.HTM
RMPSPB_CASENOTE ERROR.HTM
RMPSPB_CASENOTE NOTES.HTM
RMPSPB_CASENOTE VALIDATE.JS
SRMPS_BROWSER RECORDSBROWSER.HTM
SRMPS_HISTORY ERROR.HTM
SRMPS_HISTORY HISTORY.HTM
SRMPS_METADATA CHANGEMETADATA.HTM
SRMPS_METADATA ERROR.HTM
SRMPS_METADATA INITIAL.HTM
SRMPS_METADATA METADATA.HTM
SRMPS_METADATA UPDATED.HTM
SRMPS_SEARCH ERROR.HTM
SRMPS_SEARCH RESULTS1.HTM
SRMPS_SEARCH SEARCH.HTM
Действия по исправлению:
1. Выполните SE80.
2. Выберите 'BSP Application' ("Приложение BSP") в выпадающем меню и введите имя приложения в окошке снизу (например, RMPSPB_CASE), а затем нажмите
3. Выберите узел приложения и нажмите кнопку 'Expand all' ("Показать все"), чтобы развернуть дерево приложения.
4. Страницы BSP будут находиться в папке 'Views', 'Pages with flow logic' или 'Page fragments'.
5. Дважды нажмите на странице, которую необходимо изменить (см. название страницы BSP соответствующее приложению в вышеприведенном списке), а затем при помощи кнопки 'display<->change' ("отобразить-изменить") перейдите в режим правки.
6. Перейдите на закладку 'Layout' и замените следующее выражение (оно будет первым в списке)
<%@page language="abap"%>
на выражение
<%@page language="abap" forceEncode="html"%>
7. Сохраните изменения и активируйте страницу.
------------------------------------------------------------------------
|Предустановочные действия. |
------------------------------------------------------------------------
|Действительно для |
|Компонент ПО SAP_ABA SAP Application...|
| Версия 640 До SAPKA64028 |
| Версия 700 SAPKA70004 - SAPKA70025 |
| Версия 710 До SAPKA71013 |
| Версия 711 SAPKA71101 - SAPKA71107 |
| Версия 701 До SAPKA70110 |
| Версия 702 SAPKA70201 - SAPKA70209 |
| Версия 720 SAPKA72002 - SAPKA72005 |
| Версия 730 SAPKA73001 - SAPKA73004 |
------------------------------------------------------------------------
Перед реализацией данного бюллетеня необходимо удостовериться, что в вашей системе установлены исправления из бюллетеня 1582870.
Ссылки
