SAP Patch Day Februar 2024 behebt kritische Sicherheitslücken

Am 13. Februar 2024 veröffentlichte SAP im Rahmen seines Sicherheits-Patch-Tages Updates, die 13 neue Sicherheitshinweise sowie Aktualisierungen zu 3 zuvor veröffentlichten Sicherheitshinweisen umfassten. Zu den bemerkenswerten Veröffentlichungen gehörten Korrekturen für Schwachstellen, die als “Hot News” und “High” eingestuft wurden, einschließlich Problemen im Zusammenhang mit Code-Injektion, Cross-Site Scripting (XSS), XXE-Schwachstellen, unsachgemäßer Zertifikatsvalidierung und mehr in verschiedenen SAP-Produkten wie SAP ABA, NetWeaver AS Java, SAP Business Client, SAP Cloud Connector und SAP CRM WebClient UI.

Eine der kritischen Schwachstellen, die behoben wurden, ist eine Code-Injektionsanfälligkeit in SAP ABA (Application Basis), die als “Hot News” mit einem CVSS-Score von 9,1 markiert wurde. Ein weiteres bedeutendes Update war für eine Cross-Site-Scripting-Schwachstelle in NetWeaver AS Java (User Admin Application), bewertet als “High” mit einem CVSS-Score von 8,8. Es gab auch Updates für zuvor veröffentlichte Hinweise, wie Sicherheitsupdates für Google Chromium, die mit SAP Business Client geliefert wurden.

Darüber hinaus hat der erste Sicherheits-Patch-Tag von SAP im Jahr 2024 kritische Schwachstellen in Business Application Studio, Web IDE und Edge Integration Cell adressiert. Zwei der neuen und einer der aktualisierten Sicherheitshinweise befassten sich mit kritischen Schwachstellen zur Eskalation von Privilegien. Unter ihnen war CVE-2023-49583 eine Privilege Escalation Schwachstelle in Business Application Studio, Web IDE Full-Stack und Web IDE für SAP HANA. SAP-Kunden wird geraten, diese Patches so schnell wie möglich anzuwenden, um sich vor potenziellen Ausnutzungen zu schützen.