Data Services Management Console: Datenbankabfragen schützen

Veröffentlicht · Aktualisiert · Vernetzte Dienste · 8 Min. Lesezeit · Von Cyber Intelligence Embassy

Kurz erklärt

Data Services Management Console: SQL-Injection. Der Fall vom 2026-08-11 untersucht 25 Versionseinträge und 42 CVEs, dokumentierte Versionen und Prüfungen für Laufzeitplattformen anhand von CERTFR-2026-AVI-0998.

KI-Illustration: dunkler Technikraum für Cybersicherheit mit dezenter goldener Beleuchtung Illustration · fiktive Szene
In diesem Artikel

Rückblick auf den 2026-08-11, erstellt am 27. Oktober 2026. Das Datum bezeichnet den untersuchten Tag; Veröffentlichungs- und Änderungsdaten der Quellen stehen unten.

Was diese Meldung für Ihre Umgebung bedeutet

Ausgangspunkt ist CERTFR-2026-AVI-0998, veröffentlicht am 2026-08-11. Der Umfang umfasst Data Services Management Console, Change and Transport System Attach Tool (ctsattach), Business AI Platform (Approuter), Commerce Cloud, ABAP Platform, NetWeaver AS Java (Adobe Document Services), NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard, SAPSPrint Service, Commerce Cloud (Bouncy Castle Java library), S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools), SAPUI5, AP FICA ODN framework. Genannte Folgen sind Cross-Site-Scripting (XSS), Codeausführung aus der Ferne, SQL-Injection, noch vom Hersteller zu klärenden Auswirkungen, Umgehung von Sicherheitskontrollen, Verlust der Vertraulichkeit, Rechteausweitung. Sie betreffen den Umfang der Meldung; nicht jede Folge wird jedem Produkt oder jeder CVE zugeordnet.

Dieser Fall umfasst 25 Versionseinträge und 42 CVE-Kennungen. Verfolgen Sie die Behebung je Komponente: Ein insgesamt erfolgreicher Updatelauf belegt nicht die jeweilige Korrektur von Data Services Management Console und Social Intelligence.

Produkte und Versionen prüfen

Referenz
CERTFR-2026-AVI-0998
Erste Veröffentlichung der Quelle
2026-08-11
Letzter für diesen Tag verfügbarer Quellenstand
2026-08-11
Genannte Komponenten
Data Services Management Console, Change and Transport System Attach Tool (ctsattach), Business AI Platform (Approuter), Commerce Cloud, ABAP Platform, NetWeaver AS Java (Adobe Document Services), NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard, SAPSPrint Service, Commerce Cloud (Bouncy Castle Java library), S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools), SAPUI5, AP FICA ODN framework, NetWeaver Application Server ABAP and ABAP Platform, BusinessObjects Business Intelligence, Commerce Cloud and Data Hub (Apache Log4j Core), S/4 HANA (Reprocess Bank Statement Items), Advanced Planning and Optimization (Model Mix Planning), Manufacturing Integration and Intelligence, Commerce Cloud (Data Hub Adapter), Commerce Cloud (Search and Navigation), ABAP Developer Tools, NetWeaver Application Server ABAP, BusinessObjects Business Intelligence Platform (Central Management Server), NetWeaver and ABAP Platform, Social Intelligence
CVE-Kennungen
CVE-2026-33871, CVE-2026-66760, CVE-2026-58247, CVE-2026-40130, CVE-2026-66774, CVE-2026-58238, CVE-2026-66772, CVE-2026-44764, CVE-2026-58241, CVE-2026-58248, CVE-2026-66770, CVE-2025-58057, CVE-2025-42947, CVE-2026-58237, CVE-2026-5598, CVE-2026-66779, CVE-2026-34480, CVE-2026-66775, CVE-2026-58243, CVE-2026-66771, CVE-2026-58239, CVE-2026-66773, CVE-2026-44765, CVE-2026-58235 … (+18)
KomponenteVeröffentlichte Bedingung
Change and Transport System Attach Tool (ctsattach)CTS_UPLOAD_CLT 1 letztes Sicherheitsupdate fehlt
Business AI Platform (Approuter)<23.0.0 letztes Sicherheitsupdate fehlt
NetWeaver AS Java (Adobe Document Services)ADSSAP 7.50 letztes Sicherheitsupdate fehlt

Für Change and Transport System Attach Tool (ctsattach) lautet die veröffentlichte Bedingung „CTS_UPLOAD_CLT 1 letztes Sicherheitsupdate fehlt“. Vergleichen Sie die tatsächlich geladene Version innerhalb ihres eigenen Zweigs. Ein Update einer anderen Ausgabe von Data Services Management Console schließt diesen Fall nicht ab.

Mechanismus und Voraussetzungen

SQL-Injection verwischt die Grenze zwischen Daten und Befehlen. Prüfen Sie parametrisierte Abfragen, Datenbankrechte und Protokolle; destruktive Testeingaben sind nicht nötig.

Der von sap veröffentlichte Primärdatensatz CVE-2026-66763 betrifft SAP BusinessObjects Business Intelligence Platform (Central Management Server). Die berücksichtigte Fassung stammt vom 2026-08-11. Dieser Umfang wird von Integrationen und Produktgruppen in CERTFR-2026-AVI-0998 getrennt betrachtet.

Die veröffentlichte Bewertung für CVE-2026-66763 ist CVSS 3.1, 7.9/10. Der Vektor beschreibt technische Voraussetzungen, weder Angriffshäufigkeit noch die Kompromittierungswahrscheinlichkeit Ihrer Installation.

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N

Angriffsvektor
lokal
Vorherige Rechte
hoch
Nutzerinteraktion
keine
Komplexität
niedrig
Schwachstellentyp
CWE-321

Den passenden Eingriff wählen

  1. Instanzen von Change and Transport System Attach Tool (ctsattach), laufende Versionen und Verantwortliche erfassen. Bedingung CTS_UPLOAD_CLT 1 letztes Sicherheitsupdate fehlt zusammen mit CERTFR-2026-AVI-0998 dokumentieren.
  2. Den installierten Zweig mit Herstellerhinweisen für Change and Transport System Attach Tool (ctsattach) vergleichen. Passendes Paket und Test des abhängigen Dienstes vorbereiten; Ausgangszustand sichern.
  3. Nach dem Eingriff in Change and Transport System Attach Tool (ctsattach) die geladene Version erneut erfassen und den beschriebenen Ablauf prüfen. Jede Ausnahme braucht Verantwortung, Expositionsbegrenzung und Ablaufdatum.

Korrektur im realen Ablauf überprüfen

Für Data Services Management Console anzupassendes Prüfszenario: Für Change and Transport System Attach Tool (ctsattach) die vom Prozess oder aktiven Kernel geladene Version erfassen und nur gemäß Wartungsanleitung neu starten. Einen abhängigen Ablauf prüfen und eingebettete Kopien in ausgelieferten Abbildern oder Programmen suchen. Dies ist ein Vorschlag zur defensiven Validierung, kein Bericht über Tests an fremden Systemen.

Grenze von CERTFR-2026-AVI-0998: Diese Analyse ersetzt weder Herstellervoraussetzungen noch eine Untersuchung Ihrer Protokolle. Nur dokumentierte Versionen werden übernommen; Angriffsdaten und Opfer werden nicht erfunden.

Fragen zu diesem Fall

Welche Bedingung ist für Change and Transport System Attach Tool (ctsattach) zu prüfen?

CERTFR-2026-AVI-0998 nennt Change and Transport System Attach Tool (ctsattach) — CTS_UPLOAD_CLT 1 letztes Sicherheitsupdate fehlt. Ausgabe und laufende Version prüfen; die Grenze gilt nicht automatisch für ungenannte Zweige.

Warum reicht ein Update für Data Services Management Console und Social Intelligence nicht aus?

CERTFR-2026-AVI-0998 unterscheidet diese Komponenten innerhalb von 25 Einträgen. Jeden Zweig mit seinen Updatehinweisen und einem eigenen Funktionstest abgleichen.

Welche Voraussetzungen nennt CVE-2026-66763?

Für CVE-2026-66763 lautet der veröffentlichte Vektor CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N. Diese Bedingungen bei SAP BusinessObjects Business Intelligence Platform (Central Management Server) überprüfen, bevor sie auf eine Integration in CERTFR-2026-AVI-0998 übertragen werden.

Quellen und verwandte Beiträge

Praxisleitfaden : Priorisieren Sie Schwachstellen und überprüfen Sie deren Behebung

Die Entscheidung dieses Falls vertiefen

Vollständiges Verzeichnis des Quellhinweises

Die Artikeltabelle kann ein Auszug sein. Diese Listen enthalten alle betroffenen Systemeinträge und CVEs der genannten Fassung. Sie sind kein Inventar Ihrer Systeme und ordnen nicht jede CVE jedem Produkt zu.

Offizielle Quelle · CERTFR-2026-AVI-0998
Fassung des Hinweises : · Geprüft am :

Betroffene Systeme · 25

Der französische Originalwortlaut bleibt erhalten, um mehrdeutige Übersetzungen der Versionsbedingungen zu vermeiden.

  1. Data Services Management Console versions SBOP_DS_MANAGEMENT_CONSOLE 4.3 et 2025 sans le dernier correctif de sécurité
  2. Change and Transport System Attach Tool (ctsattach) version CTS_UPLOAD_CLT 1 sans le dernier correctif de sécurité
  3. Business AI Platform (Approuter) version <23.0.0 sans le dernier correctif de sécurité
  4. Commerce Cloud versions COM_CLOUD 2211, 2211-JDK21, DHUB_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  5. ABAP Platform versions KRNL64UC 7.53, KERNEL 7.53, 7.54 et 7.77 sans le dernier correctif de sécurité
  6. NetWeaver AS Java (Adobe Document Services) version ADSSAP 7.50 sans le dernier correctif de sécurité
  7. NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard versions SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758 et SAP_BASIS 816 sans le dernier correctif de sécurité
  8. SAPSPrint Service versions SAPSPRINT 8.00 et 8.10 sans le dernier correctif de sécurité
  9. Commerce Cloud (Bouncy Castle Java library) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  10. S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools) versions S4CORE 104, 105, 106, 107, 108, 109, ENTERPRISE 430 et 2025 sans le dernier correctif de sécurité
  11. SAPUI5 versions SAP_UI 750, 754, 755, 756, 757, 758, 816 et UI_700 200 sans le dernier correctif de sécurité
  12. AP FICA ODN framework versions SAPSCORE 132, S4CORE 102, 103, 104, 105, 106, 107, 108, FI-CA 606, 616, 617 et 618 sans le dernier correctif de sécurité
  13. NetWeaver Application Server ABAP and ABAP Platform versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, KERNEL 7.22, 7.53, 7.54, 7.77, 7.93 et 9.16 sans le dernier correctif de sécurité
  14. BusinessObjects Business Intelligence versions ENTERPRISE 430, 2025, 2027, ENTERPRISECLIENTTOOLS 430, 2025 et 2027 sans le dernier correctif de sécurité
  15. Commerce Cloud and Data Hub (Apache Log4j Core) versions COM_CLOUD 2211, 2211-JDK21 et DHUB_CLOUD 2211 sans le dernier correctif de sécurité
  16. S/4 HANA (Reprocess Bank Statement Items) versions S4CORE 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
  17. Advanced Planning and Optimization (Model Mix Planning) versions SCMAPO 713, 714, S4CORE 102, 103, 104, S4COREOP 104, 105, 106, 107, 108, 109, SCM 700, 701, 702 et 712 sans le dernier correctif de sécurité
  18. Manufacturing Integration and Intelligence versions XMII 15.4, 15.5, MII_ADMIN 15.4 et 15.5 sans le dernier correctif de sécurité
  19. Commerce Cloud (Data Hub Adapter) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  20. Commerce Cloud (Search and Navigation) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  21. ABAP Developer Tools versions SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918 et SAP_BASIS 920 sans le dernier correctif de sécurité
  22. NetWeaver Application Server ABAP versions SAP_UI 754, 755, 756, 757, 758, 816, EP-FLP 7.50, SAP_BASIS 731 et AJAX-RUNTIME 7.50 sans le dernier correctif de sécurité
  23. BusinessObjects Business Intelligence Platform (Central Management Server) versions SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918, SAP_BASIS 920, ENTERPRISE 430, 2025 et 2027 sans le dernier correctif de sécurité
  24. NetWeaver and ABAP Platform versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.22EXT2, 7.22EXT3, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16 9.18, 9.19, KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18 et 9.19 sans le dernier correctif de sécurité
  25. Social Intelligence versions S4FND 102, 103, 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
CVE-Kennungen · 42