Data Services Management Console: proteggere le query

Pubblicato · Aggiornato · Servizi connessi · 8 min di lettura · Di Cyber Intelligence Embassy

In sintesi

Data Services Management Console: iniezione SQL. Il caso del 2026-08-11 esamina 25 voci di versione e 42 CVE, versioni documentate e verifiche per piattaforme di esecuzione, partendo da CERTFR-2026-AVI-0998.

Illustrazione IA: ambiente tecnologico di sicurezza informatica scuro con luci dorate Illustrazione · scena fittizia
In questo articolo

Retrospettiva del 2026-08-11, realizzata il 27 ottobre 2026. La data indica il giorno analizzato; pubblicazione e revisione delle fonti sono riportate sotto.

Cosa cambia nell’ambiente operativo

Il punto di partenza è CERTFR-2026-AVI-0998, pubblicato il 2026-08-11. L’ambito comprende Data Services Management Console, Change and Transport System Attach Tool (ctsattach), Business AI Platform (Approuter), Commerce Cloud, ABAP Platform, NetWeaver AS Java (Adobe Document Services), NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard, SAPSPrint Service, Commerce Cloud (Bouncy Castle Java library), S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools), SAPUI5, AP FICA ODN framework. Le conseguenze indicate sono iniezione di script XSS, esecuzione remota di codice, iniezione SQL, impatto da chiarire con il produttore, aggiramento dei controlli di sicurezza, perdita di riservatezza, aumento dei privilegi. Riguardano l’ambito del bollettino: non si attribuisce ogni conseguenza a ogni prodotto o CVE.

Il caso raccoglie 25 voci di versione; numero di identificativi CVE: 42. Seguite la correzione per componente: un aggiornamento complessivo riuscito non prova che Data Services Management Console e Social Intelligence abbiano ricevuto ciascuno la propria correzione.

Prodotti e versioni da esaminare

Riferimento
CERTFR-2026-AVI-0998
Prima pubblicazione della fonte
2026-08-11
Ultima revisione disponibile per questa giornata
2026-08-11
Componenti citati
Data Services Management Console, Change and Transport System Attach Tool (ctsattach), Business AI Platform (Approuter), Commerce Cloud, ABAP Platform, NetWeaver AS Java (Adobe Document Services), NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard, SAPSPrint Service, Commerce Cloud (Bouncy Castle Java library), S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools), SAPUI5, AP FICA ODN framework, NetWeaver Application Server ABAP and ABAP Platform, BusinessObjects Business Intelligence, Commerce Cloud and Data Hub (Apache Log4j Core), S/4 HANA (Reprocess Bank Statement Items), Advanced Planning and Optimization (Model Mix Planning), Manufacturing Integration and Intelligence, Commerce Cloud (Data Hub Adapter), Commerce Cloud (Search and Navigation), ABAP Developer Tools, NetWeaver Application Server ABAP, BusinessObjects Business Intelligence Platform (Central Management Server), NetWeaver and ABAP Platform, Social Intelligence
Identificativi CVE
CVE-2026-33871, CVE-2026-66760, CVE-2026-58247, CVE-2026-40130, CVE-2026-66774, CVE-2026-58238, CVE-2026-66772, CVE-2026-44764, CVE-2026-58241, CVE-2026-58248, CVE-2026-66770, CVE-2025-58057, CVE-2025-42947, CVE-2026-58237, CVE-2026-5598, CVE-2026-66779, CVE-2026-34480, CVE-2026-66775, CVE-2026-58243, CVE-2026-66771, CVE-2026-58239, CVE-2026-66773, CVE-2026-44765, CVE-2026-58235 … (+18)
ComponenteCondizione pubblicata
Change and Transport System Attach Tool (ctsattach)CTS_UPLOAD_CLT 1 ultimo aggiornamento di sicurezza assente
Business AI Platform (Approuter)<23.0.0 ultimo aggiornamento di sicurezza assente
NetWeaver AS Java (Adobe Document Services)ADSSAP 7.50 ultimo aggiornamento di sicurezza assente

Per Change and Transport System Attach Tool (ctsattach), la condizione pubblicata è «CTS_UPLOAD_CLT 1 ultimo aggiornamento di sicurezza assente». Confrontate la versione effettivamente caricata nel proprio ramo. Una correzione su un’altra edizione di Data Services Management Console non chiude questo caso.

Meccanismo e prerequisiti

L’iniezione SQL confonde dati e istruzioni. Verificate query parametrizzate, privilegi dell’account del database e log; non serve un payload distruttivo per accertare l’esposizione.

La scheda primaria CVE-2026-66763, pubblicata da sap, riguarda SAP BusinessObjects Business Intelligence Platform (Central Management Server). La revisione utilizzata è del 2026-08-11. Questo ambito è distinto dalle integrazioni e dai raggruppamenti del bollettino CERTFR-2026-AVI-0998.

La valutazione pubblicata per CVE-2026-66763 è CVSS 3.1, 7.9/10. Il vettore descrive prerequisiti tecnici, non frequenza degli attacchi o probabilità di compromissione dell’installazione.

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N

Vettore di attacco
locale
Privilegi iniziali
alto
Interazione utente
nessuno
Complessità
basso
Debolezza
CWE-321

Scegliere l’intervento adeguato

  1. Individuate istanze di Change and Transport System Attach Tool (ctsattach), versioni in esecuzione e responsabili. Registrate la condizione CTS_UPLOAD_CLT 1 ultimo aggiornamento di sicurezza assente insieme a CERTFR-2026-AVI-0998.
  2. Confrontate il ramo installato con le note del produttore di Change and Transport System Attach Tool (ctsattach). Preparate il pacchetto corretto e un test del servizio dipendente, conservando lo stato iniziale.
  3. Dopo l’intervento su Change and Transport System Attach Tool (ctsattach), rilevate nuovamente la versione caricata e verificate il percorso indicato. Ogni eccezione richiede responsabile, riduzione dell’esposizione e scadenza.

Verificare la correzione nel lavoro reale

Scenario di verifica da adattare a Data Services Management Console: Per Change and Transport System Attach Tool (ctsattach), rilevate la versione caricata dal processo o kernel attivo e riavviate secondo le istruzioni di manutenzione. Verificate un percorso dipendente e cercate copie incorporate in immagini o eseguibili distribuiti. È una proposta difensiva, non un’affermazione di test effettuati su sistemi di terzi.

Limite di CERTFR-2026-AVI-0998: questa analisi non sostituisce i prerequisiti del produttore né l’indagine sui log. Sono riprese solo versioni documentate; non si inventano date di attacchi o vittime.

Domande specifiche del caso

Quale condizione verificare per Change and Transport System Attach Tool (ctsattach)?

CERTFR-2026-AVI-0998 indica Change and Transport System Attach Tool (ctsattach) — CTS_UPLOAD_CLT 1 ultimo aggiornamento di sicurezza assente. Verificate edizione e versione attiva; non estendete il limite a rami assenti dal bollettino.

Perché non usare una sola correzione per Data Services Management Console e Social Intelligence?

CERTFR-2026-AVI-0998 distingue questi componenti in un ambito di 25 voci. Ogni ramo richiede il confronto con le proprie istruzioni e un controllo funzionale.

Quali prerequisiti specifica la scheda CVE-2026-66763?

Per CVE-2026-66763, il vettore pubblicato è CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N. Verificate queste condizioni su SAP BusinessObjects Business Intelligence Platform (Central Management Server) prima di applicarle a un’integrazione citata da CERTFR-2026-AVI-0998.

Fonti e letture collegate

Guida pratica : Dare priorità alle vulnerabilità e verificare la correzione

Approfondire la decisione di questo caso

Inventario completo dell’avviso originale

La tabella dell’articolo può essere un estratto. Gli elenchi riportano tutte le voci dei sistemi interessati e le CVE della revisione indicata. Non inventariano i vostri asset né associano ogni CVE a ogni prodotto.

Fonte ufficiale · CERTFR-2026-AVI-0998
Revisione dell’avviso : · Verificato il :

Sistemi interessati · 25

Si conserva il testo originale francese per evitare ambiguità nelle condizioni di versione.

  1. Data Services Management Console versions SBOP_DS_MANAGEMENT_CONSOLE 4.3 et 2025 sans le dernier correctif de sécurité
  2. Change and Transport System Attach Tool (ctsattach) version CTS_UPLOAD_CLT 1 sans le dernier correctif de sécurité
  3. Business AI Platform (Approuter) version <23.0.0 sans le dernier correctif de sécurité
  4. Commerce Cloud versions COM_CLOUD 2211, 2211-JDK21, DHUB_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  5. ABAP Platform versions KRNL64UC 7.53, KERNEL 7.53, 7.54 et 7.77 sans le dernier correctif de sécurité
  6. NetWeaver AS Java (Adobe Document Services) version ADSSAP 7.50 sans le dernier correctif de sécurité
  7. NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard versions SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758 et SAP_BASIS 816 sans le dernier correctif de sécurité
  8. SAPSPrint Service versions SAPSPRINT 8.00 et 8.10 sans le dernier correctif de sécurité
  9. Commerce Cloud (Bouncy Castle Java library) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  10. S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools) versions S4CORE 104, 105, 106, 107, 108, 109, ENTERPRISE 430 et 2025 sans le dernier correctif de sécurité
  11. SAPUI5 versions SAP_UI 750, 754, 755, 756, 757, 758, 816 et UI_700 200 sans le dernier correctif de sécurité
  12. AP FICA ODN framework versions SAPSCORE 132, S4CORE 102, 103, 104, 105, 106, 107, 108, FI-CA 606, 616, 617 et 618 sans le dernier correctif de sécurité
  13. NetWeaver Application Server ABAP and ABAP Platform versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, KERNEL 7.22, 7.53, 7.54, 7.77, 7.93 et 9.16 sans le dernier correctif de sécurité
  14. BusinessObjects Business Intelligence versions ENTERPRISE 430, 2025, 2027, ENTERPRISECLIENTTOOLS 430, 2025 et 2027 sans le dernier correctif de sécurité
  15. Commerce Cloud and Data Hub (Apache Log4j Core) versions COM_CLOUD 2211, 2211-JDK21 et DHUB_CLOUD 2211 sans le dernier correctif de sécurité
  16. S/4 HANA (Reprocess Bank Statement Items) versions S4CORE 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
  17. Advanced Planning and Optimization (Model Mix Planning) versions SCMAPO 713, 714, S4CORE 102, 103, 104, S4COREOP 104, 105, 106, 107, 108, 109, SCM 700, 701, 702 et 712 sans le dernier correctif de sécurité
  18. Manufacturing Integration and Intelligence versions XMII 15.4, 15.5, MII_ADMIN 15.4 et 15.5 sans le dernier correctif de sécurité
  19. Commerce Cloud (Data Hub Adapter) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  20. Commerce Cloud (Search and Navigation) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  21. ABAP Developer Tools versions SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918 et SAP_BASIS 920 sans le dernier correctif de sécurité
  22. NetWeaver Application Server ABAP versions SAP_UI 754, 755, 756, 757, 758, 816, EP-FLP 7.50, SAP_BASIS 731 et AJAX-RUNTIME 7.50 sans le dernier correctif de sécurité
  23. BusinessObjects Business Intelligence Platform (Central Management Server) versions SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918, SAP_BASIS 920, ENTERPRISE 430, 2025 et 2027 sans le dernier correctif de sécurité
  24. NetWeaver and ABAP Platform versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.22EXT2, 7.22EXT3, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16 9.18, 9.19, KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18 et 9.19 sans le dernier correctif de sécurité
  25. Social Intelligence versions S4FND 102, 103, 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
Identificatori CVE · 42