Data Services Management Console: databasequery’s beschermen

Gepubliceerd · Bijgewerkt · Verbonden diensten · 8 min leestijd · Door Cyber Intelligence Embassy

In het kort

Data Services Management Console: SQL-injectie. De casus van 2026-08-11 onderzoekt 25 versie-items en 42 CVE’s, beschreven versies en controles voor runtimeplatforms, op basis van CERTFR-2026-AVI-0998.

AI-illustratie: een donkere technische cyberbeveiligingsruimte met gouden verlichting Illustratie · fictieve scène
In dit artikel

Terugblik op 2026-08-11, samengesteld op 27 oktober 2026. De datum verwijst naar de onderzochte dag; publicatie- en revisiedata van bronnen staan hieronder.

Wat dit advies voor uw omgeving verandert

Uitgangspunt is CERTFR-2026-AVI-0998, gepubliceerd op 2026-08-11. De reikwijdte omvat Data Services Management Console, Change and Transport System Attach Tool (ctsattach), Business AI Platform (Approuter), Commerce Cloud, ABAP Platform, NetWeaver AS Java (Adobe Document Services), NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard, SAPSPrint Service, Commerce Cloud (Bouncy Castle Java library), S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools), SAPUI5, AP FICA ODN framework. Genoemde gevolgen zijn cross-site scripting (XSS), code-uitvoering op afstand, SQL-injectie, door de leverancier te verduidelijken impact, omzeiling van beveiligingscontroles, verlies van vertrouwelijkheid, rechtenuitbreiding. Ze gelden voor de reikwijdte van het advies; niet ieder gevolg wordt aan elk product of elke CVE toegeschreven.

Deze casus bevat 25 versie-items en 42 CVE-identificaties. Volg herstel per component: een geslaagde algemene update bewijst niet dat Data Services Management Console en Social Intelligence ieder hun eigen reparatie kregen.

Te onderzoeken producten en versies

Referentie
CERTFR-2026-AVI-0998
Eerste publicatie van de bron
2026-08-11
Laatste voor deze dag beschikbare revisie
2026-08-11
Genoemde componenten
Data Services Management Console, Change and Transport System Attach Tool (ctsattach), Business AI Platform (Approuter), Commerce Cloud, ABAP Platform, NetWeaver AS Java (Adobe Document Services), NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard, SAPSPrint Service, Commerce Cloud (Bouncy Castle Java library), S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools), SAPUI5, AP FICA ODN framework, NetWeaver Application Server ABAP and ABAP Platform, BusinessObjects Business Intelligence, Commerce Cloud and Data Hub (Apache Log4j Core), S/4 HANA (Reprocess Bank Statement Items), Advanced Planning and Optimization (Model Mix Planning), Manufacturing Integration and Intelligence, Commerce Cloud (Data Hub Adapter), Commerce Cloud (Search and Navigation), ABAP Developer Tools, NetWeaver Application Server ABAP, BusinessObjects Business Intelligence Platform (Central Management Server), NetWeaver and ABAP Platform, Social Intelligence
CVE-identificaties
CVE-2026-33871, CVE-2026-66760, CVE-2026-58247, CVE-2026-40130, CVE-2026-66774, CVE-2026-58238, CVE-2026-66772, CVE-2026-44764, CVE-2026-58241, CVE-2026-58248, CVE-2026-66770, CVE-2025-58057, CVE-2025-42947, CVE-2026-58237, CVE-2026-5598, CVE-2026-66779, CVE-2026-34480, CVE-2026-66775, CVE-2026-58243, CVE-2026-66771, CVE-2026-58239, CVE-2026-66773, CVE-2026-44765, CVE-2026-58235 … (+18)
ComponentGepubliceerde voorwaarde
Change and Transport System Attach Tool (ctsattach)CTS_UPLOAD_CLT 1 laatste beveiligingsupdate ontbreekt
Business AI Platform (Approuter)<23.0.0 laatste beveiligingsupdate ontbreekt
NetWeaver AS Java (Adobe Document Services)ADSSAP 7.50 laatste beveiligingsupdate ontbreekt

Voor Change and Transport System Attach Tool (ctsattach) luidt de gepubliceerde voorwaarde ‘CTS_UPLOAD_CLT 1 laatste beveiligingsupdate ontbreekt’. Vergelijk de geladen versie binnen de eigen versietak. Een reparatie op een andere editie van Data Services Management Console sluit deze casus niet af.

Mechanisme en voorwaarden

SQL-injectie vermengt gegevens en instructies. Controleer geparametriseerde query’s, databaserechten en logs; destructieve testinvoer is niet nodig om blootstelling vast te stellen.

Het primaire record CVE-2026-66763, gepubliceerd door sap, betreft SAP BusinessObjects Business Intelligence Platform (Central Management Server). De gebruikte revisie dateert van 2026-08-11. Die reikwijdte wordt onderscheiden van integraties en productgroepen in CERTFR-2026-AVI-0998.

De gepubliceerde score voor CVE-2026-66763 is CVSS 3.1, 7.9/10. De vector beschrijft technische voorwaarden, geen aanvalsfrequentie of kans dat uw installatie is gecompromitteerd.

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N

Aanvalsvector
lokaal
Voorafgaande rechten
hoog
Gebruikersinteractie
geen
Complexiteit
laag
Zwakheid
CWE-321

De passende ingreep kiezen

  1. Zoek instanties van Change and Transport System Attach Tool (ctsattach), draaiende versies en verantwoordelijken. Leg voorwaarde CTS_UPLOAD_CLT 1 laatste beveiligingsupdate ontbreekt vast naast CERTFR-2026-AVI-0998.
  2. Vergelijk de versietak met leveranciersnotities voor Change and Transport System Attach Tool (ctsattach). Bereid het juiste pakket en een test van de afhankelijke dienst voor; bewaar de beginsituatie.
  3. Leg na de wijziging aan Change and Transport System Attach Tool (ctsattach) de geladen versie opnieuw vast en toets de beschreven werkstroom. Elke uitzondering vraagt een eigenaar, blootstellingsbeperking en einddatum.

Herstel in een echte werkstroom toetsen

Aan Data Services Management Console aan te passen controlescenario: Leg voor Change and Transport System Attach Tool (ctsattach) de door het proces of actieve kernel geladen versie vast en herstart volgens de onderhoudsinstructies. Controleer een afhankelijke werkstroom en zoek ingebouwde kopieën in images of uitvoerbare bestanden. Dit is een voorstel voor defensieve validatie, geen verslag van tests op systemen van derden.

Beperking van CERTFR-2026-AVI-0998: deze analyse vervangt geen leveranciersvoorwaarden of onderzoek van uw logs. Alleen gedocumenteerde versies worden overgenomen; er worden geen aanvalsdata of slachtoffers verzonnen.

Vragen over deze casus

Welke voorwaarde geldt voor Change and Transport System Attach Tool (ctsattach)?

CERTFR-2026-AVI-0998 noemt Change and Transport System Attach Tool (ctsattach) — CTS_UPLOAD_CLT 1 laatste beveiligingsupdate ontbreekt. Controleer editie en draaiende versie; breid de grens niet uit naar ongenoemde takken.

Waarom niet één reparatie voor Data Services Management Console en Social Intelligence?

CERTFR-2026-AVI-0998 onderscheidt deze componenten binnen 25 items. Vergelijk elke tak met de eigen update-instructies en functionele controle.

Welke voorwaarden noemt record CVE-2026-66763?

Voor CVE-2026-66763 is de gepubliceerde vector CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N. Controleer die voorwaarden bij SAP BusinessObjects Business Intelligence Platform (Central Management Server) vóór toepassing op een integratie uit CERTFR-2026-AVI-0998.

Bronnen en verwante artikelen

Praktische gids : Prioriteer kwetsbaarheden en verifieer de herstelmaatregelen

Verdiep de beslissing in deze casus

Volledige inventaris van het bronadvies

De artikeltabel kan een uittreksel zijn. Deze lijsten bevatten alle systeemvermeldingen en CVE’s uit de genoemde revisie. Ze inventariseren uw eigen middelen niet en koppelen niet elke CVE aan elk product.

Officiële bron · CERTFR-2026-AVI-0998
Revisie van het advies : · Gecontroleerd op :

Getroffen systemen · 25

De oorspronkelijke Franse tekst blijft behouden om dubbelzinnige vertalingen van versievoorwaarden te voorkomen.

  1. Data Services Management Console versions SBOP_DS_MANAGEMENT_CONSOLE 4.3 et 2025 sans le dernier correctif de sécurité
  2. Change and Transport System Attach Tool (ctsattach) version CTS_UPLOAD_CLT 1 sans le dernier correctif de sécurité
  3. Business AI Platform (Approuter) version <23.0.0 sans le dernier correctif de sécurité
  4. Commerce Cloud versions COM_CLOUD 2211, 2211-JDK21, DHUB_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  5. ABAP Platform versions KRNL64UC 7.53, KERNEL 7.53, 7.54 et 7.77 sans le dernier correctif de sécurité
  6. NetWeaver AS Java (Adobe Document Services) version ADSSAP 7.50 sans le dernier correctif de sécurité
  7. NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard versions SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758 et SAP_BASIS 816 sans le dernier correctif de sécurité
  8. SAPSPrint Service versions SAPSPRINT 8.00 et 8.10 sans le dernier correctif de sécurité
  9. Commerce Cloud (Bouncy Castle Java library) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  10. S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools) versions S4CORE 104, 105, 106, 107, 108, 109, ENTERPRISE 430 et 2025 sans le dernier correctif de sécurité
  11. SAPUI5 versions SAP_UI 750, 754, 755, 756, 757, 758, 816 et UI_700 200 sans le dernier correctif de sécurité
  12. AP FICA ODN framework versions SAPSCORE 132, S4CORE 102, 103, 104, 105, 106, 107, 108, FI-CA 606, 616, 617 et 618 sans le dernier correctif de sécurité
  13. NetWeaver Application Server ABAP and ABAP Platform versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, KERNEL 7.22, 7.53, 7.54, 7.77, 7.93 et 9.16 sans le dernier correctif de sécurité
  14. BusinessObjects Business Intelligence versions ENTERPRISE 430, 2025, 2027, ENTERPRISECLIENTTOOLS 430, 2025 et 2027 sans le dernier correctif de sécurité
  15. Commerce Cloud and Data Hub (Apache Log4j Core) versions COM_CLOUD 2211, 2211-JDK21 et DHUB_CLOUD 2211 sans le dernier correctif de sécurité
  16. S/4 HANA (Reprocess Bank Statement Items) versions S4CORE 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
  17. Advanced Planning and Optimization (Model Mix Planning) versions SCMAPO 713, 714, S4CORE 102, 103, 104, S4COREOP 104, 105, 106, 107, 108, 109, SCM 700, 701, 702 et 712 sans le dernier correctif de sécurité
  18. Manufacturing Integration and Intelligence versions XMII 15.4, 15.5, MII_ADMIN 15.4 et 15.5 sans le dernier correctif de sécurité
  19. Commerce Cloud (Data Hub Adapter) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  20. Commerce Cloud (Search and Navigation) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  21. ABAP Developer Tools versions SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918 et SAP_BASIS 920 sans le dernier correctif de sécurité
  22. NetWeaver Application Server ABAP versions SAP_UI 754, 755, 756, 757, 758, 816, EP-FLP 7.50, SAP_BASIS 731 et AJAX-RUNTIME 7.50 sans le dernier correctif de sécurité
  23. BusinessObjects Business Intelligence Platform (Central Management Server) versions SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918, SAP_BASIS 920, ENTERPRISE 430, 2025 et 2027 sans le dernier correctif de sécurité
  24. NetWeaver and ABAP Platform versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.22EXT2, 7.22EXT3, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16 9.18, 9.19, KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18 et 9.19 sans le dernier correctif de sécurité
  25. Social Intelligence versions S4FND 102, 103, 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
CVE-identificaties · 42