Lỗ hổng Cross-Site Scripting qua tải tệp độc hại trong SAP Business Planning and Consolidation

SAP Business Planning and Consolidation - các phiên bản 740, 750 cho phép kẻ tấn công đã được cấp quyền tải lên tệp độc hại, dẫn đến lỗ hổng Cross-Site Scripting. Sau khi khai thác thành công, kẻ tấn công có thể gây ảnh hưởng hạn chế đến tính bí mật và tính toàn vẹn của ứng dụng.

• SAP Business Planning and Consolidation phiên bản 740: bị ảnh hưởng.
• SAP Business Planning and Consolidation phiên bản 750: bị ảnh hưởng.
• Trạng thái mặc định của sản phẩm được ghi nhận là không bị ảnh hưởng đối với các phiên bản không được liệt kê là affected. Bản ghi không cung cấp phiên bản đã sửa lỗi, ranh giới phát hành cụ thể, hoặc trạng thái của các nhánh khác.

Đây là lỗi CWE-79 Cross-Site Scripting liên quan đến việc tải tệp lên trong SAP Business Planning and Consolidation. Kẻ tấn công đã được cấp quyền có thể đưa tệp độc hại vào ứng dụng, dẫn đến tình trạng nội dung được xử lý theo cách tạo ra XSS. Đặc tính tấn công được cung cấp cho thấy đường tấn công qua mạng, độ phức tạp thấp, yêu cầu quyền hạn thấp và cần người dùng tương tác. Phạm vi ảnh hưởng được đánh dấu là thay đổi, nhưng bản ghi không nêu security boundary cụ thể bị vượt qua. Bản ghi cũng không xác định endpoint, loại tệp, chi tiết lỗi neutralization, ngữ cảnh trình duyệt, hoặc XSS là stored hay reflected.

Bản ghi mô tả một đường tấn công qua mạng do kẻ tấn công đã được cấp quyền thực hiện, với yêu cầu quyền hạn thấp và độ phức tạp thấp. Người dùng hoặc tác nhân khác phải tương tác để việc khai thác đạt hiệu quả. Trường public_exploit trong dữ liệu được cung cấp có giá trị false, nhưng trường known_exploited là null; vì vậy dữ liệu này không xác nhận việc khai thác ngoài thực tế và cũng không đủ cơ sở để khẳng định rằng chưa từng có khai thác. Không có campaign, nạn nhân, exploit cụ thể hoặc IOC nào được nêu.

Kết quả kỹ thuật được xác nhận là Cross-Site Scripting sau khi kẻ tấn công đã được cấp quyền tải tệp độc hại và có tương tác cần thiết xảy ra. Tác động được đánh giá ở mức hạn chế đối với tính bí mật và tính toàn vẹn, trong khi không có tác động đến tính sẵn sàng được chỉ ra. Vector được cung cấp đánh dấu phạm vi là thay đổi, nhưng bản ghi không mô tả security boundary cụ thể hoặc quyền mà kẻ tấn công có thể đạt được. Về mặt tổ chức, hệ thống có thể cần điều tra nội dung upload, quyền truy cập và các thao tác của người dùng bị ảnh hưởng; không có bằng chứng trong bản ghi về một vụ xâm nhập hoặc mất dữ liệu thực tế.

Lỗ hổng có thể làm suy giảm tính bí mật và tính toàn vẹn của ứng dụng ở mức hạn chế sau khi khai thác thành công. Tùy vào ngữ cảnh người dùng tương tác và dữ liệu mà tài khoản đó có thể truy cập, tác động có thể bao gồm việc nội dung hoặc thao tác trong ứng dụng bị ảnh hưởng; đây là hệ quả có thể xảy ra, không phải chi tiết được xác nhận riêng trong bản ghi. Không có tác động đến tính sẵn sàng được chỉ ra trong dữ liệu đánh giá. Bản ghi không xác nhận việc dữ liệu của tổ chức đã bị truy cập hoặc thay đổi.

1. Kiểm kê các hệ thống SAP Business Planning and Consolidation và ưu tiên xử lý những hệ thống đang chạy phiên bản 740 hoặc 750.
2. Lấy bản sửa lỗi hoặc hướng dẫn khắc phục chính thức tương ứng từ SAP Support và áp dụng theo hướng dẫn của SAP. Dữ liệu được cung cấp không nêu phiên bản sửa lỗi cụ thể, không có solution text và không xác nhận trạng thái patch.
3. Trong thời gian chưa xác định được bản sửa lỗi, hạn chế tạm thời nhóm người dùng có quyền tải tệp và rà soát lại các quyền upload. Đây là biện pháp phòng ngừa chung, không phải workaround được SAP xác nhận.
4. Sau khi xử lý, xác minh lại release và patch level, đồng thời thực hiện kiểm tra được phê duyệt đối với chức năng upload bằng nội dung không độc hại. Không suy ra rằng một nhánh khác đã được sửa chỉ từ việc có advisory cho lỗ hổng này.

1. Kiểm kê các hệ thống SAP Business Planning and Consolidation và xác định các bản triển khai đang chạy phiên bản 740 hoặc 750.
2. Rà soát các role và quyền cho phép người dùng tải tệp lên ứng dụng, vì lỗ hổng yêu cầu một tài khoản đã được cấp quyền.
3. Kiểm tra log ứng dụng và web server để tìm hoạt động tải tệp bất thường, các lần truy cập tiếp theo vào nội dung đã tải lên, hoặc báo cáo về hành vi script bất thường trong giao diện BPC. Đây là biện pháp giám sát phòng ngừa, không phải IOC đã được xác nhận.
4. Sử dụng quy trình kiểm tra được SAP phê duyệt hoặc security testing có kiểm soát để xác minh hành vi dễ bị ảnh hưởng mà không triển khai payload độc hại. Việc không thấy sự kiện đáng ngờ trong log không chứng minh hệ thống an toàn.