Sicherheit von SAP in Bezug auf neue Technologien

Sicherheit von SAP in Bezug auf neue Technologien
Schwachstellen nicht grundsätzlich verhindern, weil z.B. auch gründliche
Programmierung aller Applikationen notwendig ist.
Des Weiteren ist auch wie in Kapitel 2.3.4 beschrieben die Eingabe von
Schadcode nicht die einzige Möglichkeit für Cross-Site-
Scripting. Die Filterung, die SAP NetWeaver durchführt ist unvollständig
und kann so bei einigen Applikationen ein Cross-Site-Scripting nicht
verhindern. Es wird das tag herausgefiltert, allerdings ist das
tag für Cross-Site-Scripting wie erwähnt nicht zwingend.
So kann z.B. in der SAP Webgui auch in der neuen Version 700 ein Cross-
Site-Scripting erzeugt werden, indem der Parameter
~webguiuserareaheight wie im Folgenden Beispiel belegt wird:
/sap/bc/gui/sap/its/webgui/?~webguiuserareaheight="> Diese Eingabe liefert ebenfalls
einen Proof-of-Concept, dass Cross-Site-Scripting hier funktioniert.
Standardaccounts
Als ein überaschend grosses Problem haben sich die Standardaccounts bei
SAP-Systemen erwiesen. Bei klassischen Webapplikationen ist die Sorge,
dass Benutzernamen oder Passwörter leicht zu erraten oder zu einfach
gestaltet sind, überall verwendete, bekannte Benutzernamen –
Passwortkombinationen findet man selten. Im Gegensatz dazu ist vor Allem
beim ABAP-Stack die Verwendung von bekannten Standardaccounts üblich.
Da diese Accounts unter Umständen den kompletten Zugriff auf das SAP-
System erlauben, müssen diese nach der Installation unbedingt deaktiviert
werden. Bei SAP NetWeaver JAVA wurde auf Standardaccounts
überwiegend verzichtet. Trotzdem können auch hier automatisch generierte
Benutzernamen für verschiedene Zwecke hergeleitet werden, da der
dynamische Anteil der Systemname des SAP-Systems ist, der unter
Umständen ausgelesen werden kann. Tabelle 2: SAP Standardaccounts
bietet eine kurze Übersicht über die bekanntesten Standardaccounts.
Damian Schlager Seite 52