SAP本周宣布發(fā)布12個(gè)新的和更新的安全說(shuō)明，作為2023年1月安全補(bǔ)丁日的一部分，其中包括7個(gè)解決嚴(yán)重漏洞的“熱點(diǎn)新聞”說(shuō)明。

　　被評(píng)為“熱點(diǎn)新聞”的安全說(shuō)明中有四個(gè)是SAP書中嚴(yán)重程度最高的安全說(shuō)明，它們是解決BusinessPlanningandConsolidationMS、BusinessObjects和NetWeaver中漏洞的新說(shuō)明，而其余三個(gè)是對(duì)2022年11月和2022年12月發(fā)布的說(shuō)明的更新.

　　最嚴(yán)重的新說(shuō)明解決了BusinessPlanningandConsolidationMS中的SQL注入錯(cuò)誤（CVE-2023-0016，CVSS得分為9.9），以及BusinessObjects商業(yè)智能平臺(tái)中的代碼注入缺陷（CVE-2023-0022，CVSS9.9分）。

　　根據(jù)企業(yè)安全公司Onapsis的說(shuō)法，這些問(wèn)題中的第一個(gè)可以被利用來(lái)在易受攻擊的應(yīng)用程序中執(zhí)行精心設(shè)計(jì)的數(shù)據(jù)庫(kù)查詢，從而允許攻擊者讀取、修改或刪除任意數(shù)據(jù)。

　　可以通過(guò)網(wǎng)絡(luò)利用代碼注入漏洞，從而影響應(yīng)用程序的機(jī)密性、完整性和可用性。

　　“該說(shuō)明包含針對(duì)無(wú)法立即提供此補(bǔ)丁的客戶的補(bǔ)丁和解決方法。但是，此解決方法只能用作臨時(shí)解決方案，因?yàn)樗鼤?huì)刪除、停止或禁用受影響的服務(wù)，” Onapsis解釋道。

　　其余新的“熱點(diǎn)新聞”說(shuō)明解決了NetWeaverASforJava中的不當(dāng)訪問(wèn)控制錯(cuò)誤（CVE-2023-0017，CVSS評(píng)分為9.4）以及NetWeaverASforABAP和ABAP平臺(tái)中的捕獲重放漏洞（CVE-2023-0014，CVSS得分為9.0）。

　　通過(guò)利用第一個(gè)問(wèn)題，未經(jīng)身份驗(yàn)證的攻擊者可以訪問(wèn)和修改用戶數(shù)據(jù)并使系統(tǒng)服務(wù)不可用。

　　捕獲重放錯(cuò)誤影響受信任的RFC和HTTP通信的架構(gòu)，允許攻擊者獲得對(duì)SAP系統(tǒng)的未授權(quán)訪問(wèn)。

　　Onapsis表示，緩解該漏洞可能具有挑戰(zhàn)性，因?yàn)樗婕皯?yīng)用“內(nèi)核補(bǔ)丁、ABAP補(bǔ)丁以及所有受信任的RFC和HTTP目標(biāo)的手動(dòng)遷移”。

　　SAP還更新了三個(gè)“熱點(diǎn)新聞”說(shuō)明，解決了BusinessObjects中不受信任的數(shù)據(jù)缺陷的不安全反序列化(CVE-2022-41203)和NetWeaver中的兩個(gè)不當(dāng)訪問(wèn)控制問(wèn)題（CVE-2022-4127和CVE-2022-41271）。

　　在SAP的1月安全補(bǔ)丁日發(fā)布的其余五份說(shuō)明解決了HostAgent(Windows)、NetWeaver、BusinessObjects和銀行賬戶管理（管理銀行）中的中等嚴(yán)重漏洞。

　　原文：https://www.securityweek.com/saps-first-security-updates-2023-resolve-critical-vulnerabilities