Zum Inhalt
Kontakt
Jetzt chatten Chat offline
Lassen Sie sich helfen und chatten Sie mit einem SAP-Mitarbeiter.
Kontakt aufnehmen
Schreiben Sie uns eine E-Mail mit Fragen, Kommentaren oder Feedback.
SAP Trust Center
Schild und Hand als Symbol für Vertrauen in SAP-Software

Sichere Konfiguration von SAP Gateway und Message Server

Uns sind die jüngsten Berichte über Schwachstellen in SAP Gateway und Message Server bekannt. Diese wurden jedoch bereits vor einigen Jahren von SAP gepatcht. Die in den Jahren 2009 und 2013 veröffentlichten Sicherheitshinweise 821875, 1408081 und 1421005 schützen unsere Kunden vor diesen Angriffen. Wie immer empfehlen wir unseren Kunden dringend, diese Sicherheitshinweise sofort umzusetzen und so eine sichere Konfiguration ihrer SAP-Landschaft zu bewirken.
 
Wir nehmen die Sicherheit von Kundendaten ernst. Die in den Whitepapers Practical Guide for Securing SAP Solutions und Securing Remote Function Calls (RFC) veröffentlichten Empfehlungen zielen auf eine sichere Konfiguration der SAP-Landschaft. Unsere Kunden können entsprechende Sicherheitsprüfungen nutzen, die in den Services SAP EarlyWatch Alert (Hinweis 863362) und in SAP Security Optimization zu finden sind.
 
Die SAP steht für sichere und zuverlässige Softwarelösungen. Als weltweit führender Anbieter von Unternehmenssoftware haben wir unsere Entwicklungsprozesse auf einer umfassenden und unternehmensweiten Sicherheitsstrategie („Verhindern – Erkennen – Reagieren“) aufgebaut, die Schulungen, Tools und Prozesse für die Bereitstellung sicherer Produkte und Services beinhaltet. 

Prozessorbedingte Sicherheitslücken

Anfang 2018 trat mit Spectre (und Meltdown) eine neue Klasse von Schwachstellen auf. In den folgenden Monaten wurden neue Varianten entdeckt und unter demselben Pseudonym veröffentlicht. Laufende Recherchen und das Bekanntwerden neuer Schwachstellen und Angriffe deuten daraufhin, dass das Thema auch in Zukunft relevant bleiben wird. Der gemeinsame Nenner dieser Schwachstellen ist ihr Ursprung in einer sehr weit verbreiteten CPU-Architektur. Sie betreffen daher fast jeden in den letzten 20 Jahren hergestellten Computerchip.
 
Die Ausnutzung dieser Schwachstellen kann Angreifern den Zugang zu Daten ermöglichen, die zuvor als sicher galten. Mögliche Angriffe werden als Seitenkanalangriffe bezeichnet, bei denen die Ausführungsgeschwindigkeit (Timing) bestimmter Operationen das Entfernen von Speicherinhalten ermöglicht, die normalerweise nicht zugänglich sind. Aus sicherheitstechnischer Sicht geht es unter anderem um die Überschreitung von Grenzen innerhalb virtualisierter Umgebungen.
Wir untersuchen die Auswirkungen dieser Schwachstellen sehr genau und stimmen uns dabei eng mit den entsprechenden Herstellern und Anbietern und der Open-Source-Community ab. Unser Arbeitsschwerpunkt liegt dabei auf den Fragen ob, wo und wie unsere Plattformen, Datenbanken, Anwendungen und Cloud-Prozesse betroffen sind.
 
Dabei handeln wir proaktiv und beseitigen potenzielle Schwachstellen für Hardware-Seitenkanalangriffe unmittelbar. Weitere Informationen zum Stand der Patches für unsere Cloud-Umgebungen finden Sie hier (Registrierung erforderlich).Als Nutzer der betroffenen Software und Hardware sind wir in hohem Maße davon abhängig, dass die Hersteller, Anbieter und die Open-Source-Community entsprechende Patches zur Verfügung stellen. Der Zeitplan für den Einsatz der Patches hängt im Wesentlichen von dieser Verfügbarkeit ab.
Wir raten allen Kunden, die Empfehlungen von Hardware- und Betriebssystemherstellern zur Implementierung von Sicherheits-Patches sorgfältig zu verfolgen und die Patches sofort nach Verfügbarkeit einzusetzen. SAP installiert die Sicherheits-Patches unverzüglich in ihrer Cloud-Infrastruktur. Unser Bereich SAP Global Security beobachtet die Situation und die weitere Entwicklung mit höchster Aufmerksamkeit.
Jede Variante hat eine eigene CVE-Nummer erhalten (Stand 6. November 2018):

 

Durch eine Ausnutzung dieser Schwachstellenvarianten kann ein Angreifer vertrauliche Daten auslesen, zum Beispiel aus dem Zentraleinheit- oder Kernelspeicher. Die Gefährdungsstufe und Möglichkeiten der Verwertung sind von Variante zu Variante unterschiedlich.
 
Über die folgenden Links erhalten Sie von den entsprechenden Anbietern weitere Informationen über die oben erwähnten Schwachstellen, Ressourcen und Gegenmaßnahmen:
Bitte beachten Sie, dass SAP für die Inhalte auf diesen externen Seiten nicht verantwortlich ist.
Zum Seitenanfang