SAP Adaptive Server Enterprise dringend patchen (5.2020)

Administratoren, die für SAP Adaptive Server Enterprise (ASE) verantwortlich zeichnen, sollten zeitnah die letzten Sicherheitsupdates einspielen. Denn Sicherheitslücken in der Software bergen die Gefahr, dass der Server übernommen werden kann.

SAP Adaptive Server Enterprise (ASE)

Hinter dem SAP ASE steckt der ursprünglich als Sybase SQL Server angebotene Datenbankserver. Sybase DB (auch als Sybase ASE bekannt), ist ein relationaler Modelldatenbankserver, der von der Sybase Corporation entwickelt wurde und später von der SAP AG übernommen wurde. Diese SAP-Seite bietet Informationen zu SAP ASE.

Mai-Updates für kritische Schwachstellen

Die Nacht bin ich über den nachfolgenden Tweet von Bleeping Computer darauf aufmerksam geworden, dass Administratoren handeln sollten.

Patch SAP Adaptive Server Enterprise now to avoid takeover risk – @Ionut_Ilascuhttps://t.co/53oegmLzV4

— BleepingComputer (@BleepinComputer) June 3, 2020

Im Mai 2020 gab es von SAP Updates für sieben Fehler, die ASE für Windows und Linux betreffen. In diesem Artikel erwähnt Bleeping Computer, dass nun für sechs Updates technische Details verfügbar sind, die sich auf verschiedene Komponenten und Dienste auswirken. Sicherheitsforscher von Trustwave haben Details veröffentlicht.

• CVE-2020-6248 (CVSS 9.1): Die Schwachstelle ermöglicht eine willkürliche Codeausführung, die es erlaubt, die Konfigurationsdatei des Backup-Servers (Version 16.0) mit einem einfachen Befehl zu beschädigen. Das wird nicht verifiziert.
• CVE-2020-6252 (CVSS 9.0): Der Fehler führt zur Offenlegung von Informationen, der die Cockpit-Komponente in Standard-Windows-Installationen von SAP ASE betrifft.Cockpit verwendet eine kleine Hilfs-Datenbank (SQL Anywhere), die mit LocalSystem-Berechtigungen läuft. Das Problem besteht darin, dass das Anmeldekennwort für alle Benutzer sichtbar ist.
• CVE-2020-6241 (CVSS 8.8): Bei einem Update von ASE 16 wurden globale temporäre Tabellen eingeführt. Ein Fehler in der Handhabung von DDL-Statements führt dazu, dass jeder gütige Datenbankbenutzer (d.h. jeder, der eine Verbindung zum Server herstellen kann, unabhängig von den diesem Benutzer gewährten Privilegien, selbst ein Benutzer ohne besondere Privilegien) schnell Datenbankadministrator-Zugriff erhalten kann.
• CVE-2020-6243 (CVSS 8.0): Eine XP Server-Schwachstelle ermöglicht eine Arbitrary Code Execution als LocalSystem.
• CVE-2020-6253 (CVSS 7.2): Es handelt sich um eine Privilegieneskalation durch SQL-Injektion in den DROP SERVICE-Handhabungscode.  Dies kann nur von Datenbankbesitzern genutzt werden, da der Fehler das Laden eines Datenbank-Dumps beinhaltet. Aber am Ende eines zweistufigen Angriffs erhalten Hacker Datenbankadministrator-Zugriff.
• CVE-2020-6250 (CVSS 6.8): Die Adaptive Server Enterprise Server-Buildprotokolle enthalten Passwörter im Klartext. Die Protokolle sind zwar nur für das SAP-Konto lesbar, können aber bei Kombination diverser Angriffen den SAP ASE vollständig gefährden.

Details zu diesen Schwachstellen lassen sich im Trustwave Beitrag hier, oder in diesem Artikel von Bleeping Computer nachlesen. Hinweise zu den Patches finden sich bei Bleeping Computer.