Podatności SAP S/4HANA

Podatność w SAP S/4HANA (Private Cloud i On-Premise) pozwala atakującemu z uprawnieniami administratora na wstrzyknięcie dowolnego kodu ABAP lub poleceń OS przez moduł funkcji udostępniony przez RFC, z pominięciem autoryzacji.

SAP S/4HANA (Private Cloud) używa komponentu zewnętrznego, który zawiera podatność na Regular Expression Denial of Service (ReDoS). Nieuwierzytelniony atakujący może dostarczyć specjalnie spreparowane dane wejściowe, które powodują nadmierne przetwarzanie w dotkniętej funkcjonalności. Skuteczne wykorzystanie może wyczerpać zasoby systemowe i uczynić usługę niedostępną, co ma wysoki wpływ na dostępność. Nie ma wpływu na poufność i integralność.

Funkcja Reprocess Bank Statement Items w SAP S/4HANA nie przeprowadza niezbędnych kontroli autoryzacji dla uwierzytelnionych użytkowników, co pozwala im na używanie reguł, które nie zostały z nimi udostępnione, prowadząc do eskalacji uprawnień.

W systemie SAP S/4HANA operacja Draft nie przeprowadza niezbędnych kontroli autoryzacji dla uwierzytelnionego użytkownika. Ograniczony użytkownik może uzyskać dostęp do informacji w encji, co prowadzi do eskalacji uprawnień.

Podatność w aplikacji SAP S/4HANA Project Management (PPM-PRO) umożliwia atakującemu z wysokimi uprawnieniami wykonanie spreparowanych zapytań do bazy danych, co prowadzi do ujawnienia backendowej bazy danych. Wpływ na poufność jest niski, a integralność i dostępność aplikacji pozostają nienaruszone.

SAP S/4HANA (On-Premise) zawiera podatność SQL injection w zdalnie dostępnym module funkcyjnym. Uwierzytelniony atakujący może wykonywać nieautoryzowane zapytania do bazy danych, ujawniając wrażliwe informacje.