Sicherheit von SAP in Bezug auf neue Technologien

Sicherheit von SAP in Bezug auf neue Technologien
dieser Applikation angezeigt (Abbildung 24: Cross-Site-Scripting in
Parameter).
Abbildung 24: Cross-Site-Scripting in Parameter
Ein weiteres Cross-Site-Scripting wurde in einer für klassische
Webapplikationen in dieser Form nicht bekannten Variante gefunden. Hier
war die Eingabe von zwei Slashes (//) am Ende der URL notwendig gefolgt
von dem Angriffspattern. In diesem Fall ergab sich ein Angriffsmuster von
der URL:
https://..../xxxter//">alert(document.cookie).
Auch hier wurden alle gültigen Cookies preisgegeben und die Mölichkeit des
Cross-Site-Scriptings erwiesen.
Ein schwerwiegender Fehler war in dieser Applikation, dass es möglich war,
einen Parameter zu verändern, der die Ausgabe der Applikation
beeinflusste. Durch gezieltes Verändern dieses Parameters war es möglich,
auf einen Teil der in der internen Datenbank hinterlegten Daten
zuzugreifen, die zu anderen Benutzern gehörten. Die Eigenschaft der
Applikation, auf die Veränderung des Parameters mit der Herausgabe von
benutzerfremden Daten zu reagieren war hierbei auf einen Fehler bei SAP
zurückzuführen.
Die Überprüfung eines im Einsatz befindlichen SAP-Systems auf JAVA Basis
hat also reale Schwächen aufgezeigt, die auch, wie in diesem Fall, den
Livegang einer Applikation die zuvor hin Hinblick auf Sicherheit entwickelt
wurde zu verzögern.
3.4 Vergleich der Ergebnisse
Bei der klassischen Webapplikation waren die Ergebnisse so zu erwarten.
Auch wenn es sich nur um eine Beispielapplikation handelte, so konnte
doch gezeigt werden, dass schon das automatische Audit sehr gute
Ergebnisse liefern konnte, die durch eine manuelle Nacharbeit, wie sie auch
üblich ist, vervollständigt werden konnte. Die Ergebnisse belaufen sich von
unkritischen, kleinen Fehlern in der Konfiguration wie bei den Directory-
Listings, über Cross-Site-Scripting bis hin zu SQL-Injection und damit
Damian Schlager Seite 58