声明：本文仅代表原作者观点，仅用于ERP行业应用和交流，不代表任何公司。 漏洞1：SAP Group Reporting Data Collection 中缺少权限检查症状描述：SAP Group Reporting Data Collection 不会对经过验证的用户执行必要的权限检查，从而导致权限升级。成功利用后，可以通过输入数据包应用更改特定数据，就算用户没有足够的权限，同样会对应用程序的完整性产生很大影响。解决方案：通过实施 SAP Note 3443941 或将系统版本更新到 SAP S/4HANA 2023 FPS2均可解决
点评：除了最新的S/4 HANA版本，几乎其他所有S/4 HANA系统全军覆没（包括PCE和公有云版本）漏洞2：SAP S/4HANA 中的 URL 重定向漏洞
症状描述：SAP S/4HANA 管理目录和跨目录搜索的Fiori应用允许攻击者由于 URL 验证不足而将用户重定向到恶意站点。 解决方案：note3156972已经提供了修正指令
症状描述：由于输入验证不足，SAP应用程序（tc~esi~esp~grmg~wshealthcheck~ear）允许未经身份验证的攻击者发送来自易受攻击的 Web 应用程序（针对防火墙后通常无法从外部网络访问的内部系统）的已设计请求。这可能会导致请求伪造漏洞。解决方案：将 NW 应用服务器 Java 系统更新为修复的版本或修复的组件包版本 点评：如果是NW7.5的JAVA系统在安装的时候顺便做了组件升级，应该问题就不大。因为升级版本也有风险，且该漏洞的风险等级仅为中，因此修复是否一定要做还要评估一下成本（我估计90%以上的企业都不会去修复的）症状描述： 可能允许高特权攻击者利用用户提供的路径信息验证不足并将其传递到文件 API。因此，会对应用程序的机密性、集成性和可用性产生重大影响。解决方案：note3438234里已提供修正包，或升级相关组件到目标版本评估者：FICO顾问，Basis顾问，ABAP顾问 修复人（二选一）：ABAP顾问（修正包），Basis（升级版本）点评：S/4 HANA系统不受影响，但是经典的ERP产品（ECC6.0产品和有EHP包的ECC产品）要小心了 漏洞5：SAP NetWeaver平台中的服务 (DOS) 漏洞症状描述：SAP NetWeaver应用程序服务器允许攻击者通过崩溃或淹没服务来阻止合法用户访问服务。这会对可用性产生重大影响。解决方案：1.根据note3432146调整参数 2.升级当前的内核到最新版本，两者必须同时做
可以修正的内核版本： 点评： 这个影响面挺广的，S/4 HANA和经典NetWeaver平台（包括但不限于ERP,CRM,PLM,SCM,SRM,EWM,TM等等）几乎都要升级漏洞6：SAP S/4 HANA（现金管理）中缺少权限检查症状描述：SAP S/4 HANA 中的现金管理不会对经过验证的用户执行必要的权限检查，从而导致权限升级。通过利用此漏洞，攻击者可以批准或拒绝影响应用程序完整性的银行账户应用程序。修复人：Basis顾问（打note3430173），如果该note不可打，则需要ABAP顾问实施修复指令免责声明：本文所用视频、图片、文字如涉及作品版权问题，请第一时间告知，我们将根据您提供的证明材料确认版权并按国家标准支付稿酬或立即删除内容！本文内容为原作者观点，并不代表本公众号赞同其观点和对其真实性负责。
免责声明：文章内容不代表本站立场，本站不对其内容的真实性、完整性、准确性给予任何担保、暗示和承诺，仅供读者参考，文章版权归原作者所有。如本文内容影响到您的合法权益（内容、图片等），请及时联系本站，我们会及时删除处理。
查看原文
