Sie verwenden keine aktuelle Browser-Version. Deshalb wird die Webseite möglicherweise nicht korrekt dargestellt. Hier finden Sie weitere Hinweise.

IT Sicherheit – die Sicherheitslücken des Monats August 2021

Inhaltsverzeichnis

In unserer neuen Security Blog Reihe möchten wir Sie über die aktuellsten Sicherheitslücken und deren Updates informieren.

Abdecken werden wir an dieser Stelle folgende Hersteller: SAP, Microsoft, Citrix, VMWare, Pulse Secure, Juniper, IBM, Oracle, Suse & Avantra.

Anbei erhalten Sie einen Überblick über die Sicherheitslücken des Monats August 2021 (Base Score größer 8.0):

SAP

CVE-2021-33698 – Unrestricted File Upload vulnerability in SAP Business One

Base Score: 9.9

Betroffene Komponente: SAP Business One

Es gibt eine Lücke, die beim Feature des Datei Uploads eine Bedrohung darstellt. Wenn Sie SAP Business One nutzen, empfehlen wir unbedingt zu handeln.

CVE-2021-33690 – Server Side Request Forgery vulnerability in SAP NetWeaver Development Infrastructure

Base Score: 9.9

Betroffene Komponente: SAP NetWeaver Development Infrastructure Component Build Service

Der SAP NetWeaver Development Infrastructure Component Build Service ermöglicht es einem Bedrohungsakteur, der Zugriff auf den Server hat, Proxy-Angriffe auf den Server durchzuführen, indem er manipulierte Abfragen sendet. Dadurch könnte der Angreifer sensible Daten auf dem Server vollständig kompromittieren und seine Verfügbarkeit beeinträchtigen.

Hinweis: Die Auswirkungen dieser Schwachstelle hängen davon ab, ob SAP NetWeaver Development Infrastructure (NWDI) im Intranet oder im Internet ausgeführt wird. Der CVSS-Score spiegelt die Auswirkungen im schlimmsten Fall wider, wenn der Server im Internet läuft.

CVE-2021-33701 – SQL Injection vulnerability in SAP NZDT Row Count Reconciliation

Base Score: 9.1

Betroffene Komponente: DMIS Mobile Plug-In on SAP S/4HANA

DMIS Mobile Plug-In oder SAP S/4HANA ermöglicht es einem Angreifer mit Zugriff auf ein hoch privilegiertes Konto, eine manipulierte Abfrage im NZDT-Tool auszuführen, um Zugriff auf die Backend-Datenbank zu erhalten.

CVE-2021-33702 – Cross-Site Scripting (XSS) vulnerability in SAP NetWeaver Enterprise Portal

Base Score: 8.3

Betroffene Komponente: SAP NetWeaver Enterprise Portal

Unter bestimmten Bedingungen verschlüsselt das SAP NetWeaver Enterprise Portal die Berichtsdaten nicht ausreichend. Ein Angreifer kann bösartige Daten erstellen und sie in den Bericht drucken. Bei einem erfolgreichen Angriff öffnet ein Opfer den Bericht und das bösartige Skript wird im Browser des Opfers ausgeführt, was zu einem Cross-Site

CVE-2021-33703 – Cross-Site Scripting (XSS) vulnerability in SAP NetWeaver Enterprise Portal

Base Score: 8.3

Betroffene Komponente: SAP NetWeaver Enterprise Portal

Unter bestimmten Bedingungen kodiert NetWeaver Enterprise Portal URL-Parameter nicht ausreichend. Ein Angreifer kann einen bösartigen Link erstellen und ihn an ein Opfer senden. Ein erfolgreicher Angriff führt zu einer Cross-Site Scripting (XSS)-Schwachstelle.

CVE-2021-33705 – Server-Side Request Forgery (SSRF) vulnerability in SAP NetWeaver Enterprise Portal

Base Score: 8.1

Betroffene Komponente: SAP NetWeaver Portal Component iViews Editor

Die SAP Netweaver Portal Komponente Iviews Editor enthält eine Server Side Request Forgery (SSRF) Schwachstelle, die es einem nicht authentifizierten Angreifer ermöglicht, eine bösartige URL zu erstellen, die, wenn sie von einem Benutzer angeklickt wird, jede Art von Anfrage (z.B. POST, GET) an einen internen oder externen Server stellen kann. Dies kann zum Zugriff auf oder zur Änderung von Daten führen, die über das Portal zugänglich sind.

SUSE

CVE-2021-3246 – Security update for libsndfile

Base Score: 9.8

Betroffene Komponente: Audio component on all Linux (SLES11/12 as per Uyuni)

Eine Heap-Pufferüberlauf-Schwachstelle in msadpcm_decode_block von libsndfile 1.0.30 erlaubt Angreifern die Ausführung von beliebigem Code über eine manipulierte WAV-Datei.

Ein Stack-basierter Pufferüberlauf in psf_memset in common.c in libsndfile 1.0.28 erlaubt entfernten Angreifern, einen Denial of Service (Absturz der Anwendung) zu verursachen oder möglicherweise nicht spezifizierte andere Auswirkungen durch eine manipulierte Audiodatei zu haben.

Microsoft

CVE-2021-36936 / CVE-2021-26432 / CVE-2021-26424 / CVE-2021-34535 – Remote Code Execution Vulnerability

Base Score: 8.8 – 9.9

Betroffene Komponenten: Windows Print Spooler / NFS ONCRPC XDR Driver / TCP/IP Remote Code / RDP Client Remote Code

Mehrere Lücken in verschiedenen Microsoft Windows Komponenten sorgen für Sicherheitsprobleme in den Windows Server Versionen 2008 – 2019.

Wir empfehlen an dieser Stelle dringend zeitnah zu patchen, da die Lücken stellenweise ohne Benutzerinteraktion und zusätzliche Berechtigungen nutzbar sind.

Oracle

CVE-2021-2351 – Oracle DB Advanced Networking Option

Base Score: 8.3

Betroffene Komponente: Oracle DB

Eine aktuelle Sicherheitslücke in den erweiterten Netzwerkoptionen sorgt für die Möglichkeit einer Ausnutzung eben dieser. Wenn Sie die betroffene Komponente verwenden, empfehlen wir diese zu aktualisieren.

Pulse Secure

CVE-2021-22937 / CVE-2021-22933 / CVE-2021-22934 / CVE-2021-22935 / CVE-2021-22936 / CVE-2021-22938 – Security Fix

Base Score: 9.1

Betroffene Komponente: Pulse Connect Secure

Eine Schwachstelle in Pulse Connect Secure vor 9.1R12 könnte es einem authentifizierten Administrator ermöglichen, über ein in böser Absicht erstelltes Archiv, das in die Administrator-Weboberfläche hochgeladen wurde, eine Datei zu schreiben.

Juniper Networks

CVE-2021-0277 / CVE-2021-0278 – LLDP out fo bounds read vunerability in l2cpd and j-web allows locally authenticated attacker to escalate privileges to root

Betroffene Komponenten: Junos OS / Junos OS Evolved

Base Score: 8.8

Dieses Problem tritt nur auf, wenn LLDP auf dem Switch aktiviert ist. LLDP ist auf den Switches deaktiviert. Das Problem trifft nicht zu. Das regelmäßige Patching wird nächsten Monat durchgeführt.

Dieses Problem tritt nur auf, wenn J-Web auf dem Switch aktiviert ist. J-Web ist auf den Switches deaktiviert. Das Problem trifft nicht zu. Das regelmäßige Patching wird nächsten Monat durchgeführt.

IBM

CVE-2021-25329 – QRadar SIEM is vulnerable to using components with known vulnerabilities

Base Score: 8.8

Betroffene Komponente: QRadar

Apache Tomcat könnte einem entfernten, authentifizierten Angreifer erlauben, beliebigen Code auf dem System auszuführen, verursacht durch einen Fehler in einem Konfigurations-Edge-Case. Durch das Senden speziell gestalteter Eingaben könnte ein Angreifer diese Schwachstelle ausnutzen, um beliebigen Code auf dem System auszuführen.

Wenn Sie Fragen haben oder nicht wissen, wie Sie mit den oben genannten Lücken umgehen sollen, zögern Sie nicht uns zu kontaktieren.

Wir helfen Ihnen dabei sicherer zu werden!

Nehmen Sie Kontakt zu uns auf!

    Mit der Erhebung, Verarbeitung und Nutzung meiner personenbezogenen Daten zur Bearbeitung meiner Anfrage erkläre ich mich einverstanden. Ich kann mein Einverständnis jederzeit ohne Angabe von Gründen widerrufen. Weitere Informationen finden Sie in unserer Datenschutzerklärung.

    Rufen Sie uns an
    +49 6173 3363 000

    Nagarro ES Newsletter
    Newsletter jetzt abonnieren!

    Besuchen Sie uns
    Alle Standorte ansehen

    Checkliste SAP S/4HANA
    Tipps für Ihre Transformation

    Die Checkliste gibt Ihnen Hinweise für Ihre Transformation nach SAP S/4HANA sowie Links zu wichtigen Tools von SAP.

    • Wie Sie Ihr SAP ERP für die Transformation fit machen
    • Welche Analysetools SAP für die ERP-Umstellung anbietet
    • Wichtige Projektphasen der SAP S/4HANA Transformation
    • Welche Rolle die Konsistenz Ihrer Stammdaten spielt
    • Empfehlungen für eine Brownfield-Conversion
    S/4HANA Checkliste Preview