SAP เผยเเพร่คำแนะนำด้านความปลอดภัย 10 รายการใน SAP Security Patch Day ประจำเดือนมกราคม 2021

SAP ออกแพตช์ด้านความปลอดภัย 10 รายการและรายละเอียดการอัปเดตอื่นๆ อีก 7 รายการใน SAP Security Patch Day ประจำเดือนมกราคม 2021 โดยช่องโหว่ที่สำคัญมีรายละเอียดดังนี้

ช่องโหว่แรก CVE-2021-21465 (CVSSv3 9.9/10) เป็นช่องโหว่ SQL Injection และการตรวจสอบข้อมูลในผลิตภัณฑ์ SAP Business Warehouse (Database Interface) ซึ่งจะมีผลกับ SAP Business Warehouse เวอร์ชัน 710, 711, 730, 731, 740, 750, 751, 752, 753, 754, 755, 782
ช่องโหว่ที่สอง CVE-2021-21466 (CVSSv3 9.1/10) เป็นช่องโหว่ Code Injection ที่อยู่ในผลิตภัณฑ์ SAP Business Warehouse and SAP BW/4HANA ซึ่งจะมีผลกับ SAP Business Warehouse เวอร์ชัน 700, 701, 702, 711, 730, 731, 740, 750, 782 และ SAP BW4HANA เวอร์ชัน 100, 200

สำหรับช่องโหว่ที่มีสำคัญอีก 3 รายการคือการอัปเดตสำหรับการแก้ไขช่องโหว่ที่ถูกเผยแพร่ไปแล้วก่อนหน้านี้คือช่องโหว่ในเบราว์เซอร์ Google Chromium ที่ถูกใช้ในผลิตภัณฑ์ Business Client ซึ่งมีคะแนน CVSSv3 10/10, ช่องโหว่การเพิ่มสิทธิ์ใน NetWeaver Application Server สำหรับ Java (CVSSv3 9.1/10) ที่ถูกเผยแพร่ไปแล้วในเดือนพฤศจิกายน 2020 และช่องโหว่ Code Injection ในผลิตภัณฑ์ Business Warehouse (CVSSv3 9.1/10) ที่ถูกเผยแพร่ไปแล้วในธันวาคม 2020

ทั้งนี้ผู้ใช้งาน SAP ควรทำการอัปเดตแพตช์ความปลอดภัยให้เป็นเวอร์ชันล่าสุดเพื่อป้องกันการตกเป็นเป้าหมายของผู้ประสงค์ร้าย

สามารถตรวจสอบแพตช์ต่าง ๆ ได้ที่ wiki.

SAP ออกเเพตซ์เเก้ไขช่องโหว่จำนวน 13 รายการ ในเเพตซ์ประจำเดือนธันวาคม 2020

SAP ประกาศการอัปเดตเเพตช์ความปลอดภัยประจำเดือนธันวาคม 2020 หรือ SAP Security Patch Day December 2020 โดยในเดือนธันวาคมนี้ SAP ได้ออกเเพตซ์เเก้ไขช่องโหว่ที่สำคัญจำนวน 13 รายการ ซึ่งช่องโหว่ที่ได้รับการเเก้ไขมี 4 รายการที่มีช่องโหว่ระดับความรุนแรงจาก CVSSv3 อยู่ที่ 9.1 - 10 และส่งผลกระทบต่อผลิตภัณฑ์ SAP NetWeaver AS JAVA, SAP BusinessObjects Business Intelligence Platform, SAP Business Warehouse และ SAP AS ABAP and S/4 HANA โดยรายละเอียดของโหว่ที่มีความสำคัญมีดังนี้

CVE-2020-26829 (CVSSv3: 10/10) เป็นช่องโหว่ที่เกิดจากปัญหาในการตรวจสอบการพิสูจน์ตัวตนใน SAP NetWeaver AS JAVA (P2P Cluster Communication) ช่องโหว่จะมีผลกระทบกับ (P2P Cluster Communication) เวอร์ชัน 7.11, 7.20, 7.30, 7.31, 7.40 และ 7.50
CVE-2020-26831 (CVSSv3: 9.6/10) เป็นช่องโหว่การขาดการตรวจสอบ XML ใน BusinessObjects Business Intelligence Platform (Crystal Report) ช่องโหว่จะทำให้ผู้โจมตีสามารถแทรกเอนทิตี XML โดยช่องโหว่จะมีผลกระทบกับ BusinessObjects Business Intelligence Platform (Crystal Report) เวอร์ชัน 4.1, 4.2 และ 4.3
CVE-2020-26838 (CVSSv3: 9.1/10) เป็นช่องโหว่ Code Injection ใน SAP Business Warehouse (Master Data Management) และ SAP BW4HANA ช่องโหว่จะมีผลกระทบกับ SAP AS ABAP(DMIS) เวอร์ชัน 011_1_620, 2011_1_640, 2011_1_700, 2011_1_710, 2011_1_730, 2011_1_731, 2011_1_752, 2020 และ SAP S4 HANA(DMIS) เวอร์ชัน 101, 102, 103, 104, 105
CVE-2020-26837 (CVSSv3: 9.1/10) เป็นช่องโหว่ Path traversal และช่องโหว่ที่เกิดจากปัญหาในการตรวจสอบการพิสูจน์ตัวตนใน SAP Solution Manager 7.2 (User Experience Monitoring) โดยช่องโหว่จะมีผลกระทบกับ SAP Solution Manager เวอร์ชัน 7.2
ทั้งนี้ผู้ดูแลระบบและผู้ใช้งานควรรีบทำการอัปเดตเเพตซ์เป็นการด่วนเพื่อเป็นการป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ ผู้ที่สนใจรายละเอียดแพตช์เพิ่มเติมสามารถดูได้จากเเหล่งที่มา

ที่มา: securityweek | wiki.