Januar-Patchday: SAP informiert über neun neue Sicherheitslücken

Anlässlich des Januar-Patchdays hat SAP neun neue Sicherheitsnotizen zu Schwachstellen in seinen Produkten veröffentlicht. Vier davon wurden als kritisch eingestuft. Zudem hat das Unternehmen auch drei Sicherheitsmeldungen älterer Schwachstellen aktualisiert.

Mit einem CVSS-Score von 9.9 erhalten die Sicherheitslücken CVE-2023-0016 und CVE-2023-0022 die kritischste Einstufung. Erstere findet sich in SAP Business Planning and Consolidation MS: Es handelt sich um eine SQL-Injection-Schwachstelle, die es einem Angreifer ermöglicht, auf Daten in der Backend-Datenbank zuzugreifen, um diese dann zu ändern oder zu löschen. Letztere Schwachstelle klafft in der SAP Businessobjects-Business-Intelligence-Plattform: Sie erlaubt es authentifizierten Nutzern, bösartigen Code einzuschleusen, den die Anwendung dann über das Netzwerk ausführt. Damit könnte die Anwendung vollständig kompromittiert werden.

Weitere zwei Meldungen erhalten die Einstufung kritisch. Die Sicherheitslücke CVE-2023-0017 klafft in SAP Netweaver AS for Java und ist mit einem CVSS-Skore von 9.4 versehen. Die Schwachstelle CVE-2023-0014 findet sich in SAP Netweaver AS Abap for Abap und erhält mit 9.0 den tiefsten CVSS-Skore, gilt aber immer noch als kritisch.

Darüber hinaus meldet SAP fünf weitere Schwachstellen, die mit einer mittleren Risikoeinstufung versehen wurden. Ausserdem hat das Unternehmen auch drei Sicherheitsnotizen zu älteren Schwachstellen vom November und Dezember 2022 aktualisiert – allesamt sind als kritisch eingestuft. Alle Sicherheitsnotizen sind auf der Webseite von SAP gelistet. (rf)