{"id":693,"date":"2022-02-11T12:29:34","date_gmt":"2022-02-11T11:29:34","guid":{"rendered":"https:\/\/smartersec.com\/?p=693"},"modified":"2024-01-29T11:00:07","modified_gmt":"2024-01-29T10:00:07","slug":"sap-security-patch-day-02-2022","status":"publish","type":"post","link":"https:\/\/smartersec.com\/de\/sap-security-patch-day-02-2022\/","title":{"rendered":"SAP Security Patch Day 02\/2022"},"content":{"rendered":"\n

SAP Security Patch Day 02\/2022 \u2013 f\u00fcr jeden was dabei! <\/h2>\n\n\n\n

Der SAP Security Patch Day des Februar 2022 war einmal mehr recht umfangreich: allein 7 Hinweise mit der h\u00f6chsten Risikobewertung (CVSS-Score=10). Dar\u00fcber hinaus sind weitere kritisch bewertete Korrekturen (mit CVSS-Score 9,1 oder 8,7) finden sich auf der am Dienstag ver\u00f6ffentlichten Liste.1<\/a><\/sup><\/p>\n\n\n\n

Wie immer wollen wir in diesem Blog berichten, wie wir die SAP Security Notes auf unser eigenes, produktives SAP HCM System anwenden. Durch den Upload mit der Transaktion SNOTE wird automatisch gepr\u00fcft, ob einspielbare Korrekturen enthalten sind. Insbesondere bei sehr hoch priorisierten Hinweisen untersuchen wir den Hinweis trotzdem zus\u00e4tzlich manuell, um zu pr\u00fcfen, ob weitere Aktivit\u00e4ten notwendig sind. <\/p>\n\n\n\n

SAP-Kernel Patch notwendig <\/h3>\n\n\n\n

Dies ist auch gleich beim ersten Hinweis (3123396) der Fall, welcher die Schwachstelle mit der offiziellen Nummer CVE-2022-225362<\/a><\/sup>  und einer Bewertung von CVSS=10 adressiert. Der SAP ICM ist ungepatched f\u00fcr ein sogenanntes Request Smuggling anf\u00e4llig \u2013 diese Sicherheitsl\u00fccke wurde auf den Namen \u201eICMAD\u201c getauft. Auch Beh\u00f6rden wie das US DHS CISA3<\/a><\/sup> oder die SAP4<\/a><\/sup> selbst weisen auf die besondere Kritikalit\u00e4t dieser Schwachstelle hin. <\/p>\n\n\n\n

Die Korrektur erfolgt jedoch nicht \u00fcber Anpassungen im ABAP-Quelltext, sondern durch ein Update auf den SAP-Kernel und den SAP-Webdispatcher. Einen entsprechenden Austausch der Kernel-Dateien konnten wir direkt f\u00fcr den Dienstagabend gemeinsam mit unserem SAP-Basis-Team einplanen und umsetzen. <\/p>\n\n\n\n

SAP Business Client <\/h3>\n\n\n\n

Der Hinweis 2622660 wird monatlich aktualisiert und beschreibt welche Patches f\u00fcr den SAP Business Client und das darin enthaltene Chromium PlugIn bereitgestellt wurden. Die konkrete Risikobewertung ist abh\u00e4ngig vom verwendeten Release und bisher eingespielten Patch-Level und variiert dementsprechend \u2013 erreicht aber in einigen F\u00e4llen durchaus den H\u00f6chstwert mit CVSS=10.  <\/p>\n\n\n\n

Als Gegenma\u00dfnahme muss der SAP Business Client regelm\u00e4\u00dfig auf das letzte verf\u00fcgbare Patch-level gebracht werden. Konsequenz: nach dem Download vom SAP-Support Portal haben wir direkt den Rollout f\u00fcr die Arbeitsplatzumgebungen unserer Mitarbeiter gestartet. <\/p>\n\n\n\n

Log4j ist noch nicht vorbei  <\/h3>\n\n\n\n

Auch im Februar wird der gr\u00f6\u00dfte Anteil (5 Hinweis) an SAP Security Notes noch von der log4j Schwachstelle5<\/a><\/sup> bestimmt. Erw\u00e4hnenswert ist, dass 3131047 ein Sammelhinweis ist, der diesen Monat nochmal aktualisiert wurde: zu den 23 bereits im Januar ver\u00f6ffentlichen Hinweise sind im Februar nochmal 18 neue hinzugekommen. Auch hier gilt: Security Notes mit dieser Kritikalit\u00e4t sollten \u2013 auch wenn sie laut Transaktion SNOTE nicht einspielbar sind \u2013 nochmal manuell gepr\u00fcft und gelesen werden. Mit dem Fokus auf unser HCM System ergaben sich allerdings keine weiteren Aktivit\u00e4ten.<\/p>\n\n\n\n

Eingespielte Hinweise <\/h3>\n\n\n\n

Drei Security Notes wurden in der Transaktion SNOTE als \u201eautomatisch einspielbar\u201c bewertet: <\/p>\n\n\n\n

    \n
  • 3140587 SQL Injection vulnerability in SAP NetWeaver  <\/li>\n\n\n\n
  • 3124994 Cross-Site Scripting (XSS) vulnerability  <\/li>\n\n\n\n
  • 3126489 Missing Authorization check in SAP ERP HCM Product  <\/li>\n<\/ul>\n\n\n\n

    Nach Pr\u00fcfung der Korrekturen wurde entschieden, dass diese direkt ins System \u00fcbernommen werden k\u00f6nnen, da die verwendeten Gegenma\u00dfnahmen (passendes Encoding, zus\u00e4tzliche Berechtigungspr\u00fcfung) kein funktionales Risiko erwarten lassen. Das Einspielen per SNOTE erfolgte problemlos ohne weitere manuelle T\u00e4tigkeiten. <\/p>\n\n\n\n

    Das war es f\u00fcr diesen Monat \u2013 wir berichten in vier Wochen an dieser Stelle wieder \u00fcber den SAP Security Patch Day aus dem M\u00e4rz. <\/p>\n","protected":false},"excerpt":{"rendered":"

    Der SAP Security\u00a0Patch Day\u00a0des Februar 2022\u00a0war einmal\u00a0mehr recht\u00a0umfangreich: allein 7 Hinweise mit der h\u00f6chsten Risikobewertung (CVSS-Score=10).<\/p>\n","protected":false},"author":3,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[14],"tags":[],"class_list":["post-693","post","type-post","status-publish","format-standard","hentry","category-sap-security-patch-day-de"],"aioseo_notices":[],"acf":[],"_links":{"self":[{"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/posts\/693","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/comments?post=693"}],"version-history":[{"count":7,"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/posts\/693\/revisions"}],"predecessor-version":[{"id":2487,"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/posts\/693\/revisions\/2487"}],"wp:attachment":[{"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/media?parent=693"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/categories?post=693"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/smartersec.com\/de\/wp-json\/wp\/v2\/tags?post=693"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}