# Script-Ziel SAP-System, BO/BI Passwörter| SAP Security Patchday April 2023

Quelle: https://rz10.de/sap-security/sap-security-patchday-april-2023/
Stand: 2026-07-28

Am 11.04.2023 war der vierte SAP Security Patchday in diesem Jahr. Wie jeden zweiten Dienstag im Monat gab es neue Security-Hinweise, diesmal 19 neue Security Notes und fünf Updates zu Patchdays vergangener Monate. Größtes Risiko geht diesmal von Lücken im SAP Diagnostics Agent aus, der praktisch auf allen SAP Servern installiert ist.

Auch für den April haben SAP und andere [Security Researcher](https://www.sap.com/documents/2022/02/089613a0-167e-0010-bca6-c68f7e60039b.html) einiges gemeldet, hinsichtlich Risikoeinstufung sogar noch kritischer als [im Monat März](https://rz10.de/sap-security/hereinspaziert-in-business-objects-abap-java-sap-security-patchday-maerz-2023/). Ich empfehle (wie immer) ein Überfliegen [des offiziellen PDFs](https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=10) um herauszufinden, ob es relevante Hinweise für die eigene SAP-Landschaft gibt. Alternativ erhält man auch eine Übersicht über das [SAP-Support-Portal](https://launchpad.support.sap.com/#/securitynotes) mit dem Expert-Filter oben „Patch Day“.

## Remote-Skripte ausführen auf jedem SAP-System

Der Diagnostic Agent ist ein Hintergrunddienst auf SAP Servern, der beim Monitoring von SAP Systemen hilft und standardmäßig auf SAP-Systemen mit installiert und über den Solution Manager 7.2 konfiguriert und ausgelesen wird. Unter Windows sind zwei Komponenten dieses Dienstes angreifbar und erlauben wegen fehlender Authentisierung und Eingabevalidierung die Remote-Ausführung von Skripten und damit die komplette Kompromittierung des Systems. Die Lücke in der Komponente unter Windows (EventLogServiceCollector) hat einen CVSS-Score von 10/10. Andere Betriebssysteme haben „nur“ die Lücke in der Komponente „OSCommand Bridge“ mit einem geringeren CVSS von immer noch 9.0/10.

Lösung dafür ist das Patchen der Agents bzw. der Komponente LM_SERVICE, die die beiden betroffenen Komponenten EventLogServiceCollector und OSCommand Bridge entfernen. Siehe dazu [3305369 - [CVE-2023-27497] Multiple vulnerabilities in SAP Diagnostics Agent (OSCommand Bridge and EventLogServiceCollector)](https://launchpad.support.sap.com/#/notes/3305369)

**RZ10 als Dienstleister: SAP Security**

Als spezialisierter **Dienstleister für SAP Security** unterstützen wir Unternehmen dabei, ihre SAP-Systeme ganzheitlich abzusichern, Risiken zu identifizieren und geeignete Sicherheitsmaßnahmen umzusetzen. Dabei begleiten wir Sie von der strategischen Beratung über die Konzeption bis hin zur technischen Implementierung und dem laufenden Betrieb.

Wie so eine Zusammenarbeit konkret abläuft, zeigt unser Kundenprojekt mit BADER Leather. Hier lesen: [Ganzheitliche Security Roadmap für BADER Leather](https://rz10.de/referenzen/security-roadmap-fuer-bader-leather/)

## Zugriff auf Passwörter in Business Objects Promotion Management

Angreifer mit grundlegenden Rechten können die Datei lcmbiar auslesen – mit der sich dann BI User und Passwörter ermitteln lassen. Dadurch kann die komplette Applikation übernommen werden. Die Lücke hat einen CVSS-Score 9.8/10. Ich frage mich gerade, wieso ich aus einer Datei in heutigen Zeiten noch ein Passwort ermitteln kann.

Lösung ist, einen entsprechenden Patch zu installieren. Als Workaround kann ein Passwort-Schutz auf die Datei angewendet werden. Details in der entsprechenden Security Note [3298961 - [CVE-2023-28765] Information Disclosure vulnerability in SAP BusinessObjects Business Intelligence Platform (Promotion Management)](https://launchpad.support.sap.com/#/notes/3298961)

**Updates der Updates im April**

Wie eigentlich jeden Monat gibt es auch Updates zu zuvor veröffentlichen Hinweisen.

Ungeschlagen in der Anzahl der Updates einer Security Note – es gibt für den **SAP** **Business Client** mal wieder ein Chromium-Update. CVSS-Score 10/10 bezieht sich auf das kritischste Update aus der Vergangenheit – das aktuelle Update bezieht sich auf eine Lücke mit CVSS-Score 8.8/10. [2622660 - Security updates for the browser control Google Chromium delivered with SAP Business Client](https://launchpad.support.sap.com/#/notes/2622660)

Der **AS Java** hatte [im Dezember](https://rz10.de/sap-security/business-objects-as-java-und-as-abap-sap-security-patchday-dezember-2022/) einen Security-Hinweis mit CVSS 9.9/10. Die Sicherheitslücke erlaubt den Zugriff auf und die eingeschränkte Veränderung von Benutzerdaten im AS Java über eine offene JNDI-Schnittstelle ohne Benutzerprüfung. Der Hinweis [3273480 – [CVE-2022-41272] Improper access control in SAP NetWeaver AS Java (User Defined Search)](https://launchpad.support.sap.com/#/notes/3273480) ist nun für ein weiteres SP-Level freigegeben worden.

Für **NetWeaver AS ABAP** gab es [im März](https://rz10.de/sap-security/hereinspaziert-in-business-objects-abap-java-sap-security-patchday-maerz-2023/) eine neue Schwachstelle, gültig für die meisten Releases ab Version 7.00. In einem Directory Traversal-Angriff kann man ohne Admin-Berechtigungen aus erlaubten Pfaden ausbrechen und Dateien des Betriebssystems manipulieren. Der irritierende Hinweis auf einen nicht vorhandenen Workaround wurde entfernt und Tipps für die Aktivierung ergänzt. [3294595 – [CVE-2023-27269] Directory Traversal vulnerability in SAP NetWeaver AS for ABAP and ABAP Platform](https://launchpad.support.sap.com/#/notes/3294595)

## Unterlagen und Links

- [Offizielle Übersicht SAP Patchday (PDF)](https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=10)
- [DSAG AK Security & Vulnerability Management - Online-Session "Diskussion zu ausgewählten SAP Security Notes"](https://dsagnet.de/dsag-event?id=343795&app=info) ab 04.2023
- [Hereinspaziert in Business Objects, ABAP, JAVA | SAP Security Patchday März 2023](https://rz10.de/sap-security/hereinspaziert-in-business-objects-abap-java-sap-security-patchday-maerz-2023/)

## Demnächst…

Am 04.05.2023 hält mein Kollege Luca Cremer ein Webinar zum Thema ["NIS2 im Überblick: neue EU-Richtlinie für Cybersicherheit"](https://rz10.de/event/nis2-im-ueberblick/). Weitere Webinare finden Sie [hier](https://rz10.de/webinare/?unternehmens-kategorie%5B%5D=sap-security).