SAP BusinessObjects Web Intelligence XXE-hibája hitelesített támadóknak teszi lehetővé szerverfájlok olvasását (CVE-2026-109798)

Mi történt

Az SAP BusinessObjects Business Intelligence Platform Web Intelligence összetevője az OLAP-kapcsolati kérelmek feldolgozása során nem korlátozza megfelelően a külső entitások feloldását. Ez XML External Entity (XXE) típusú, CWE-611 szerinti hiba. Alacsony jogosultságú hozzáféréssel rendelkező támadó hálózaton keresztül, felhasználói beavatkozás nélkül kihasználhatja a sérülékenységet. Egy speciálisan kialakított OLAP-kapcsolati kérelem beküldésével a támadó elérheti, hogy a platform külső entitásokat oldjon fel, érzékeny fájlokat olvasson a kiszolgálóról, és olyan belső rendszereket érjen el, amelyek egyébként nem érhetők el. A CVE-rekord a bizalmasságra gyakorolt hatást magasnak, az integritásra és a rendelkezésre állásra gyakorolt hatást alacsonynak minősíti, a hatás pedig túlmutat a sérülékeny összetevőn. A CVE-rekord nem jelez aktív kihasználást vagy nyilvános közzétételt.

Kit érint

Az SAP a következő kiadásokat érintettként sorolja fel: SAP BusinessObjects Business Intelligence Platform (Web Intelligence) ENTERPRISE 430, 2025 és 2027. Ha az Ön szervezete a BusinessObjects BI Platformot a fenti kiadások valamelyikén futtatja, ellenőrizze, hogy a Web Intelligence hitelesített felhasználók számára hálózaton keresztül elérhető-e.

Mit kell most tenni

A CVE-2026-109798 rekordban nem szerepel javított verzió vagy kerülő megoldás. Amíg az SAP nem ad ki javítást, szűkítse a kihasználást lehetővé tevő feltételeket.

1. Ellenőrizze az SAP CVE-2026-109798-ra vonatkozó biztonsági közleményét, és kísérje figyelemmel az SAP Security Patch Dayt, hogy időben értesüljön a javításról.
2. Kezelje a Web Intelligence-t belső alkalmazásként; ne tegye közvetlenül elérhetővé az internetről, kivéve ha szigorú hozzáférési szabályok és további ellenőrzés van érvényben.
3. Korlátozza a BI Platformról a belső rendszerek felé irányuló hálózati elérést, hogy a sikeres entitásfeloldás kevesebb belső rendszerhez férhessen hozzá.
4. Tekintse át és csökkentse a Web Intelligence-fiókokat, különösen azokat az alacsony jogosultságú fiókokat, amelyeknek nincs szükségük OLAP-kapcsolati jogosultságokra.
5. Amikor megjelenik egy javított verzió, részesítse előnyben azokat a példányokat, amelyek hálózati kapcsolatokat fogadnak.

Hogyan észlelhető

A CVE-rekord nem tartalmaz kompromittálódásra utaló indikátorokat. Általános ellenőrzésként vizsgálja át a Web Intelligence hitelesítési és kérésnaplóit, keresve olyan fiókoktól származó OLAP-kapcsolati kérelmeket, amelyek ilyeneket általában nem hoznak létre. Emellett kövesse figyelemmel a BI Platform belső rendszerek felé irányuló kimenő kapcsolatait.

A javításon túl

Az SAP-környezetek esetében ez kevésbé egyetlen javításról szól, sokkal inkább arról, hogy a szervezet tudja, hol érhetők el a BusinessObjects- és Web Intelligence-felületek, és milyen gyorsan zárja le az SAP kiadási ciklusa a kritikus réseket. SAP-biztonsági gyakorlatunk segíthet feltérképezni az SAP- és BusinessObjects-környezetet, és csökkentheti a jelentéskészítő komponensek kitettségét. Mivel a kitettség időtartamát az SAP javítási ciklusa határozza meg, az Ellátási lánc védelem és harmadik féltől eredő kockázat területén végzett munka segít nyomon követni ezt a szállítói kitettséget.