{"id":1840,"date":"2023-05-10T09:39:08","date_gmt":"2023-05-10T07:39:08","guid":{"rendered":"https:\/\/smartersec.com\/?p=1840"},"modified":"2023-05-10T09:39:09","modified_gmt":"2023-05-10T07:39:09","slug":"sap-security-patch-day-05-2023","status":"publish","type":"post","link":"https:\/\/smartersec.com\/de\/sap-security-patch-day-05-2023\/","title":{"rendered":"SAP Security Patch Day 05\/2023"},"content":{"rendered":"\n<h2 class=\"wp-block-heading\">Mai \u2013 Die Suche nach dem b\u00f6sen Zeichen<\/h2>\n\n\n\n<p>Im Rahmen des SAP Security Patch Day f\u00fcr den Monat Mai wurden insgesamt 25 Hinweise neu ver\u00f6ffentlicht oder aktualisiert. Nach Herunterladen und pr\u00fcfen der Komponenten zeigt sich, dass lediglich drei davon f\u00fcr unser HCM-System relevant und einbaubar sind.<\/p>\n\n\n\n<p>Der Hinweis 3326210<sup>1<\/sup> adressiert unter Schwachstellen-Nummer CVE-2023-30743 Improper Neutralization of Input in SAPUI5. Die beschriebene Korrekturma\u00dfnahme ist simpel: spielen Sie den neuesten Patch f\u00fcr SAPUI5 ein \u2013 was letzten Endes ein Austausch bzw. Upload von Dateien ins System darstellt. Bei dieser Korrektur ist dadurch die tiefere Analyse der Schwachstelle und der angewandten Korrektur nicht m\u00f6glich.<\/p>\n\n\n\n<p>Die beiden Hinweise 3315971<sup>2 <\/sup>und 3315979<sup>3<\/sup> (Schwachstellen-Nummer CVE-2023-30742 und CVE-2023-29188) thematisieren ein m\u00f6gliches Cross-Site Scripting (XSS) in der Anwendung SAP CRM WebClient UI. XSS \u2013 da war doch was? Richtig: Hinweis 3293786 betraf auch diese Schwachstellenart; und damals ging um den Vergleich zwischen <em>Input Validation<\/em> und <em>Output Encoding<\/em>.<\/p>\n\n\n\n<p>Der reinen Lehre nach soll als Gegenma\u00dfnahme f\u00fcr XSS ein <em>Output Encoding<\/em> \u2013 als kontextspezifisches Anpassen von technisch relevanten Zeichen eingebaut werden. Sie kennen das vielleicht, wenn aus dem Ausdruck Hello World&lt;&gt; entweder Hello World&amp;lt;&amp;gt; (bei HTML-Inhalten) oder Hello%20World%3C%3E (bei URLs) entsteht. Eine solche Konvertierung wird in ABAP-Programmen z.B. \u00fcber den Befehl ESCAPE erreicht.<\/p>\n\n\n\n<p>Die o.g. Hinweise f\u00fchren jedoch eine Art <em>Input Validation<\/em> durch, indem kritische Zeichen f\u00fcr einen XSS-Angriff herausgefiltert werden:<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img decoding=\"async\" width=\"945\" height=\"324\" src=\"https:\/\/smartersec.com\/wp-content\/uploads\/2023\/05\/image-1.png\" alt=\"\" class=\"wp-image-1841\" srcset=\"https:\/\/smartersec.com\/wp-content\/uploads\/2023\/05\/image-1.png 945w, https:\/\/smartersec.com\/wp-content\/uploads\/2023\/05\/image-1-300x103.png 300w, https:\/\/smartersec.com\/wp-content\/uploads\/2023\/05\/image-1-768x263.png 768w\" sizes=\"(max-width: 945px) 100vw, 945px\" \/><\/figure>\n\n\n\n<p>Prinzipiell kann eine solche Filterung auch zum Erfolg f\u00fchren \u2013 die Herausforderung besteht darin, die Filter vollst\u00e4ndig zu gestalten und auch alle kritischen Zeichen zu erwischen: was ist z.B. mit dem \u201c\u2018\u201c (single quotation mark) anstelle der Anf\u00fchrungszeichen? Der Kreativit\u00e4t der Angreifer ist keine Grenze gesetzt \u2013 Tipp: mal nach dem Stichwort \u201eXSS Cheat Sheet\u201c googeln.<br>Da aber in jedem Fall durch die Validierung die Sicherheit gesteigert wird und keine funktionalen Defizite m\u00f6glich sind, wurden die Hinweise (problemlos) eingebaut.<\/p>\n\n\n\n<p>Bis zum n\u00e4chsten Mal, wenn wir uns zum Juni Patch Day melden!<\/p>\n\n\n\n<p><a id=\"_ftn1\" href=\"#_ftnref1\">[1]<\/a> <a href=\"https:\/\/launchpad.support.sap.com\/#\/notes\/3326210\">https:\/\/launchpad.support.sap.com\/#\/notes\/3326210<\/a><\/p>\n\n\n\n<p><a href=\"#_ftnref2\" id=\"_ftn2\">[2]<\/a> <a href=\"https:\/\/launchpad.support.sap.com\/#\/notes\/3315971\">https:\/\/launchpad.support.sap.com\/#\/notes\/3315971<\/a><\/p>\n\n\n\n<p><a id=\"_ftn3\" href=\"#_ftnref3\">[3]<\/a> <a href=\"https:\/\/launchpad.support.sap.com\/#\/notes\/3315979\">https:\/\/launchpad.support.sap.com\/#\/notes\/3315979<\/a><\/p>\n\n\n\n<p><a href=\"https:\/\/cheatsheetseries.owasp.org\/cheatsheets\/XSS_Filter_Evasion_Cheat_Sheet.html\" title=\"\">[4] XSS Filter Evasion &#8211; OWASP Cheat Sheet Series<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Im Rahmen des SAP Security Patch Day f\u00fcr den Monat Mai wurden insgesamt 25 Hinweise neu ver\u00f6ffentlicht oder aktualisiert.<\/p>\n","protected":false},"author":3,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[14],"tags":[],"class_list":["post-1840","post","type-post","status-publish","format-standard","hentry","category-sap-security-patch-day-de"],"aioseo_notices":[],"acf":[],"_links":{"self":[{"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/posts\/1840","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/comments?post=1840"}],"version-history":[{"count":1,"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/posts\/1840\/revisions"}],"predecessor-version":[{"id":1843,"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/posts\/1840\/revisions\/1843"}],"wp:attachment":[{"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/media?parent=1840"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/categories?post=1840"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/tags?post=1840"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}