Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
SAP Notes
(1617266-1)
SAP Support Packages
(712, 746, SAPK-70107INWEBCUIF, SAPK-73102INWEBCUIF, SAPKU50020, SAPKU60011, SAPKU70011, SAPKU70107, SAPKU70201, SAPKU70202)
Описание
Некоторые функций в CRM Interaction Center, использующие редактор BTF, могут стать причиной хранимой XSS-атаки.
Уязвимость позволяет злоумышленнику внедрить на веб-сайт содержимое, которое будет автоматически отображаться для всех потенциальных жертв.
Хранимые на сайте коды для реализации межсайтового выполнения сценариев позволяют получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии.
Злоумышленник, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Уязвимость позволяет злоумышленнику внедрить на веб-сайт содержимое, которое будет автоматически отображаться для всех потенциальных жертв.
Хранимые на сайте коды для реализации межсайтового выполнения сценариев позволяют получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии.
Злоумышленник, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Как исправить
Сначала необходимо воспользоваться бюллетенем 1577766.
После реализации прилагаемых инструкций по исправлению ошибок содержимое, обрабатываемое редактором BTF, будет подвергаться фильтрации. Если фильтрация содержимого не возможна, то данное содержимое будет удалено.
В случае с ERMS E-mail Workbench и Agent Inbox E-Mail Editor фильтрация должна быть включена эксплицитно. Это реализуется при помощи нового значения параметра, контролирующего отображение HTML-почты. Более подробную информацию о настройке значения параметра можно найти в руководстве по соответствующей версии.
------------------------------------------------------------------------
|Выполняется вручную. |
------------------------------------------------------------------------
|Действительно для |
|Компонент ПО BBPCRM BBP / CRM |
| Версия 500 до SAPKU50019 |
| Версия 700 SAPKU70001 - SAPKU70010 |
| Версия 600 SAPKU60001 - SAPKU60010 |
------------------------------------------------------------------------
Для настройки фильтрации вызовите Tx SM30 и измените таблицу SMOFPARSFA, добавив следующие записи:
Key = CRMIC
Наименование параметра = HTMLDISPLAY
Значение парам. = FLT
Установить парам. Name 2 вашему профилю E-Mail. Добавьте строчки для каждого профиля E-Mail.
Примечание для парам.-значение:
- '' = Включено
- 'DIS' = Отключено
- 'FLT' = Отфильтровано
------------------------------------------------------------------------
|Выполняется вручную. |
------------------------------------------------------------------------
|Действительно для |
|Компонент ПО WEBCUIF |
| Версия 701 SAPK-70103INWEBCUIF - SAPK-70106INWEBCUIF |
------------------------------------------------------------------------
Создайте новое фиксированное значение для домена CRM_IC_HTMLMAIL_DISP, выполнив следующее:
1. Запустить транзакцию SE11
2. Изменить домен CRM_IC_HTMLMAIL_DISP
3. На закладке 'Value Range' ("Диапазон значений") введите следующее фиксированное значение на английском языке
Fixed Value (фиксированное значение): FLT
Short Description (краткое описание): Filtered
4. Активируйте внесенные изменения
После этого новая опция отображения HTML-почты станет доступной по следующему IMG-пути: Customer Relationship Management->Interaction Center WebClient->Basic Functions->Communication Channels->Define E-Mail Profiles.
После реализации прилагаемых инструкций по исправлению ошибок содержимое, обрабатываемое редактором BTF, будет подвергаться фильтрации. Если фильтрация содержимого не возможна, то данное содержимое будет удалено.
В случае с ERMS E-mail Workbench и Agent Inbox E-Mail Editor фильтрация должна быть включена эксплицитно. Это реализуется при помощи нового значения параметра, контролирующего отображение HTML-почты. Более подробную информацию о настройке значения параметра можно найти в руководстве по соответствующей версии.
------------------------------------------------------------------------
|Выполняется вручную. |
------------------------------------------------------------------------
|Действительно для |
|Компонент ПО BBPCRM BBP / CRM |
| Версия 500 до SAPKU50019 |
| Версия 700 SAPKU70001 - SAPKU70010 |
| Версия 600 SAPKU60001 - SAPKU60010 |
------------------------------------------------------------------------
Для настройки фильтрации вызовите Tx SM30 и измените таблицу SMOFPARSFA, добавив следующие записи:
Key = CRMIC
Наименование параметра = HTMLDISPLAY
Значение парам. = FLT
Установить парам. Name 2 вашему профилю E-Mail. Добавьте строчки для каждого профиля E-Mail.
Примечание для парам.-значение:
- '' = Включено
- 'DIS' = Отключено
- 'FLT' = Отфильтровано
------------------------------------------------------------------------
|Выполняется вручную. |
------------------------------------------------------------------------
|Действительно для |
|Компонент ПО WEBCUIF |
| Версия 701 SAPK-70103INWEBCUIF - SAPK-70106INWEBCUIF |
------------------------------------------------------------------------
Создайте новое фиксированное значение для домена CRM_IC_HTMLMAIL_DISP, выполнив следующее:
1. Запустить транзакцию SE11
2. Изменить домен CRM_IC_HTMLMAIL_DISP
3. На закладке 'Value Range' ("Диапазон значений") введите следующее фиксированное значение на английском языке
Fixed Value (фиксированное значение): FLT
Short Description (краткое описание): Filtered
4. Активируйте внесенные изменения
После этого новая опция отображения HTML-почты станет доступной по следующему IMG-пути: Customer Relationship Management->Interaction Center WebClient->Basic Functions->Communication Channels->Define E-Mail Profiles.
Ссылки
