SAP verspricht Patch für kritisches NetWeaver-Leck
Nachdem vergangene Woche ein schwerwiegender Java-Fehler in der SAP-Middleware Netweaver bekannt geworden ist, verspricht SAP jetzt rasch ein Update zu liefern.
Bei der Black Hat Konferenz hatten Forscher von dem kritischen Sicherheitsleck in der J2EE-Engine in SAP Netweaver (Java 2 Enterprise Edition) berichtet. Zahlreiche SAP-Produkte, wie zum Beispiel die Business Suite, basieren auf Netweaver.
Der Fehler wurde von dem Sicherheitsforscher und CTO des Sicherheitsunternehmens ERPScan Alexander Polyakov bei einer Präsentation auf der Black Hat Konferenz vorgestellt.
Über dieses Leck kann ein Angreifer ein SAP-System kompromittieren. So sei es beispielsweise für den Angreifer möglich, einen Nutzer anzulegen und ihn mit über unauthorisierte Abfragen mit Administratorenrechten zu versehen, berichtet Polyakov. Selbst auf Systemen mit einer Zwei-Faktoren-Authentifizierung, die neben einem Passwort auch einen einmaligen Key abfragt, sei dieser Angriff möglich.
Derzeit arbeite der Software-Hersteller SAP mit dem Sicherheitsforscher zusammen an einer Lösung des Problems. Und möglichst bald wolle SAP einen Patch liefern, heißt es. Jedoch will man in Walldorf bis zum nächsten Patchday warten und keine außerplanmäßige Aktualisierung vornehmen, wie ein Sprecher erklärte.
Das Leck wurde kurz nach der Veröffentlichung der neuen Version Java SE 7 bekannt. Auch andere Produkte sind durch diese neue Version von Fehlern betroffen.
