SAP推出了关键安全更新解决了17个漏洞，其中包括两个高度缺陷，可能会导致对组织的严重后果。 CVE-2024-41730最关键的问题可能允许未经授权访问SAP BusinessObjects商业智能平台系统。
关键身份验证旁路脆弱性
在此补丁中解决的最令人关注的问题之一是跟踪CVE-2024-41730的关键漏洞。该缺陷在CVSS v3.1量表上的额定值为9.8，被归类为“丢失身份验证检查”错误。
它影响SAP BusinessObjects商业智能平台版本430和440，在特定条件下，它可以由远程攻击者利用。
如果在企业身份验证上启用了单个登录（SSO），则未经授权的用户可以使用REST端点获得登录令牌，从而有效地绕过身份验证并获得对系统的完整访问。这种脆弱性可能可能将敏感的数据和关键业务运营暴露于恶意行为者。
SAP构建应用程序中的服务器端请求伪造
根据易怒的计算机，此更新中解决的另一个关键问题是CVE-2024-29415，这是SAP Build Build Apps版本中的服务器端请求伪造（SSRF）漏洞，该版本超过4.11.130。 CVSS v3.1得分为9.1，此漏洞对SAP应用程序构成了重大威胁。
该漏洞源于node.js的“ IP”软件包中的弱点，该漏洞错误地将IP地址'127.0.0.1'识别为公开，并且在八十位表示法表示时是公共的，全球可路由。这种不正确的分类可以使攻击者能够操纵IP地址，从而导致未经授权的访问和对系统的潜在开发。
该漏洞是针对类似问题的不完整修复的结果CVE-2023-42282，这使某些情况下容易受到剥削。
SAP产品中的高品位脆弱性
除关键漏洞外，SAP的2024年8月还解决了几个高度问题，CVSS v3.1得分范围为7.4至8.2。其中包括：
- CVE-2024-42374：SAP BEX Web Java运行时导出Web服务中的XML注入脆弱性，影响版本Bi-Base-E 7.5，Bi-Base-B 7.5，Bi-ibc 7.5，Bi-Base 7.5，Bi-Base-S 7.5，Bi-Base-S 7.5和Biwebapp 7.5。
- CVE-2023-30533：SAP S/4 HANA管理供应保护模块中的原型污染缺陷，影响Sheepjs CE的库版本以下0.19.3以下。
- CVE-2024-34688：SAP NetWeaver中的拒绝服务（DOS）漏洞为Java，专门针对META模型存储库组件版本MMR_Server 7.5。
- CVE-2024-33003：SAP Commerce Cloud中的信息披露问题，影响版本HY_COM 1808、1811、1905、2005、2005、2105、2011、2205和COM_CLOUD 2211。
及时更新的重要性
鉴于SAP的地位是全球最大的ERP供应商，其产品被超过90％的《福布斯全球2000年公司》使用，因此这些漏洞代表了严重的安全风险。
黑客正在不断寻找允许他们访问公司网络的关键缺陷，而未捕获的系统是主要目标。应用这些更新的紧迫性不能被夸大。
2022年2月，美国网络安全和基础设施安全局（CISA）发出了强烈的警告，敦促管理人员对SAP应用程序中的严重漏洞进行修补，以防止数据泄露，勒索软件攻击以及对重要业务的中断。
在2020年6月至2021年3月之间，威胁参与者在300多个有记录的案件中剥削了未捕获的SAP系统，渗透了公司网络并造成了重大损失。
为了防止此类威胁，组织至关重要的是，保持SAP的安全补丁并及时应用它们。
