Критическое обновление безопасности SAP за июнь 2011
28.06.2011
Компания SAP выпустила ежемесячный набор обновлений безопасности за июнь 2011 года. Данный набор обновлений закрывает около 40 уязвимостей в продуктах SAP. Из них 10 были обнаружены сторонними исследовательскими компаниями, в числе которых традиционно исследовательский центр DSecRG компании Digital Security. В данном обновлении закрыты две уязвимости межсайтового скриптинга, обнаруженные Дмитрием Частухиным из DSecRG.
Компания SAP традиционно объявила благодарности исследователям из DSecRG за обнаруженные уязвимости и содействие в их закрытии на своём портале.
Обе уязвимости имеют средний уровень критичности (5.0 и 4.3 по шкале CVSS). Уязвимости затрагивают ряд приложений, установленных на NetWeaver J2EE Engine, и позволяют злоумышленнику получить доступ к сессии пользователя.
Настоятельно рекомендуется установить обновления, закрывающие данные уязвимости.
Информация по обновлениям доступна из следующих SAP Notes: 1545883, 1562292ё
Рекомендации, раскрывающие технические детали данных уязвимостей, будут доступны через 3 месяца на сайтах erpscan.ru и DSecRG.ru. Проверки на наличие данных уязвимостей уже сейчас доступны в сканере ERPScan сканер безопасности SAP.
Также специалисты DSecRG опубликовали подробности уязвимостей, закрытых 3 месяца назад, в марте 2011, на сайтах erpscan.ru и DSecRG.ru.
