Sicherheit von SAP in Bezug auf neue Technologien

Sicherheit von SAP in Bezug auf neue Technologien
Abbildung 21: Source Code Disclosure
Im vorliegenden Fall (Abbildung 21: Source Code Disclosure) beinhaltet die
Zeile REPLACE ‚/N’ IN SECTION OFFSET 0 LENGTH 2 OF TCODESTR WITH
‚’ IN CHARACTER MODE IGNORING CASE einen Fehler, der die Möglichkeit
bietet, eine Eingabe zu tätigen, die das Programm nicht verarbeiten kann. 22
Der hier vorliegende, konkrete Fall ist nicht kritisch, es zeigt aber, dass ein
System auf ABAP Basis per Design die Möglichkeit bereitstellt, den
Quellcode mitsamt einiger detaillierter Systeminformationen einzusehen. Es
kann nicht ausgeschlossen werden, dass andere Programme, oder auch nur
bei Unternehmen übliche Anpassungen bestehender Programme wichtige
Informationen enthalten, daher sollte eine Anzeige des Quellcodes von
Programmen niemals für anonyme oder unpriviligerte Benuter möglich sein.
22 Um dieser Fehler auszunutzen müssen 2 Parameter gesetzt werden. Zum einen muss der
Parameter ~transaction nicht belegt sein, wie in Zeile 66 und 67 zu lesen ist. Ist dies gegeben, wird
der Parameter ~okcode ausgewertet, der im normalen Betrieb immer 2 oder mehr Zeichen enthält.
Da es sich um sowohl um ~transaction als auch ~okcode um normale HTTP GET Parameter handelt,
kann manuell sehr einfach auch nur eine Stelle eingegeben werden. Der eigentliche Programmfehler
tritt dann wie oben erwähnt in den Zeilen 78/79 auf, wo versucht wird, 2 Zeichen des Parameters
~okcode zu entfernen. Sind hier weniger als 2 Zeichen enthalten, fürt dies zu der Debugausgabe.
Damian Schlager Seite 55