Sicherheit von SAP in Bezug auf neue Technologien

Sicherheit von SAP in Bezug auf neue Technologien
Bei der Überprüfung des ABAP-Stacks mittels WebInspect finden sich
mitunter Meldungen, die sich zunächst nicht eindeutig als reale Ergebnisse
oder false-Positives erkennen. Hier ist zusätzlicher Arbeitsaufwand
notwendig um diese Meldungen auf Richtigkeit zu überprüfen. Hierzu
gehört im Falle des überprüften SAP NetWeaver eine mögliche SQL-
Injection Schwachstelle, die wie hier zu sehen gemeldet wird (Abbildung
15: Possible SQL Injection bei SAP).
Abbildung 15: Possible SQL Injection bei SAP
Grund für diese Meldung ist der Parameter: sap-system-loginoninputprocessing=onChangePwd'+OR,
der mit einem SQL-Injection
Testpattern belegt wurde und die darauf folgende Antwort des SAP-
Systems aus einer Fehlermeldung bestand, die nicht zu den häufig
anzutreffenden Standardfehlerseiten gehört.
Meldungen dieser Art des WebInspects sind ein Beispiel für die Grenzen von
automatisierten Tests. Obowhl die Voraussetzung für WebInspect anhand
des Resultates auf eine mögliche SQL-Injection Schwachstelle gegeben
sind, zeigte sich auch in diesem Fall nach weiteren Prüfungen, dass es sich
um ein false-Positive handelt. Eine Einschleußung von SQL-Anweisungen ist
hier nicht möglich. Darüber hinaus handelt es sich hier um eine
beabsichtige Fehlerseite, die aufgrund einer fehlgeschlagenen
Eingabeprüfung angezeigt wird, und die nicht nur auf Versuche für SQL-
Injection reagiert, sondern eine allgemeine Eingabeprüfung darstellt. Daher
sollten auch in Zukunft Meldungen über mögliche SQL-Injection
Schwachstellen in SAP kritisch betrachtet werden.
Damian Schlager Seite 46