Data Services Management Console: proteger consultas de dados

Publicado · Atualizado · Serviços conectados · 8 min de leitura · Por Cyber Intelligence Embassy

Em resumo

Data Services Management Console: injeção SQL. O caso de 2026-08-11 examina 25 entradas de versões e 42 CVE, versões documentadas e verificações para plataformas de execução, a partir de CERTFR-2026-AVI-0998.

Ilustração de IA: espaço tecnológico de cibersegurança escuro com iluminação dourada Ilustração · cena fictícia
Neste artigo

Retrospetiva de 2026-08-11, elaborada em 27 de outubro de 2026. A data identifica o dia analisado; as datas de publicação e revisão das fontes constam abaixo.

O que este aviso altera no seu ambiente

O ponto de partida é CERTFR-2026-AVI-0998, publicado em 2026-08-11. O âmbito inclui Data Services Management Console, Change and Transport System Attach Tool (ctsattach), Business AI Platform (Approuter), Commerce Cloud, ABAP Platform, NetWeaver AS Java (Adobe Document Services), NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard, SAPSPrint Service, Commerce Cloud (Bouncy Castle Java library), S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools), SAPUI5, AP FICA ODN framework. As consequências indicadas são injeção de scripts XSS, execução remota de código, injeção SQL, impacto a esclarecer pelo fornecedor, evasão de controlos de segurança, perda de confidencialidade, elevação de privilégios. Aplicam-se ao âmbito do aviso; não se atribui cada consequência a cada produto ou CVE.

O caso reúne 25 entradas de versões; número de identificadores CVE: 42. Acompanhe a correção por componente: uma atualização global bem-sucedida não prova que Data Services Management Console e Social Intelligence receberam a respetiva correção.

Produtos e versões a examinar

Referência
CERTFR-2026-AVI-0998
Primeira publicação da fonte
2026-08-11
Última revisão disponível para este dia
2026-08-11
Componentes citados
Data Services Management Console, Change and Transport System Attach Tool (ctsattach), Business AI Platform (Approuter), Commerce Cloud, ABAP Platform, NetWeaver AS Java (Adobe Document Services), NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard, SAPSPrint Service, Commerce Cloud (Bouncy Castle Java library), S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools), SAPUI5, AP FICA ODN framework, NetWeaver Application Server ABAP and ABAP Platform, BusinessObjects Business Intelligence, Commerce Cloud and Data Hub (Apache Log4j Core), S/4 HANA (Reprocess Bank Statement Items), Advanced Planning and Optimization (Model Mix Planning), Manufacturing Integration and Intelligence, Commerce Cloud (Data Hub Adapter), Commerce Cloud (Search and Navigation), ABAP Developer Tools, NetWeaver Application Server ABAP, BusinessObjects Business Intelligence Platform (Central Management Server), NetWeaver and ABAP Platform, Social Intelligence
Identificadores CVE
CVE-2026-33871, CVE-2026-66760, CVE-2026-58247, CVE-2026-40130, CVE-2026-66774, CVE-2026-58238, CVE-2026-66772, CVE-2026-44764, CVE-2026-58241, CVE-2026-58248, CVE-2026-66770, CVE-2025-58057, CVE-2025-42947, CVE-2026-58237, CVE-2026-5598, CVE-2026-66779, CVE-2026-34480, CVE-2026-66775, CVE-2026-58243, CVE-2026-66771, CVE-2026-58239, CVE-2026-66773, CVE-2026-44765, CVE-2026-58235 … (+18)
ComponenteCondição publicada
Change and Transport System Attach Tool (ctsattach)CTS_UPLOAD_CLT 1 última atualização de segurança ausente
Business AI Platform (Approuter)<23.0.0 última atualização de segurança ausente
NetWeaver AS Java (Adobe Document Services)ADSSAP 7.50 última atualização de segurança ausente

Para Change and Transport System Attach Tool (ctsattach), a condição publicada é «CTS_UPLOAD_CLT 1 última atualização de segurança ausente». Compare a versão efetivamente carregada dentro do seu próprio ramo. Uma correção noutra edição de Data Services Management Console não encerra este caso.

Mecanismo e pré-requisitos

A injeção SQL mistura dados e instruções. Verifique consultas parametrizadas, privilégios da conta da base de dados e registos; não precisa de uma carga destrutiva para demonstrar exposição.

A ficha primária CVE-2026-66763, publicada por sap, abrange SAP BusinessObjects Business Intelligence Platform (Central Management Server). A revisão utilizada é de 2026-08-11. Este âmbito é separado das integrações e agrupamentos do aviso CERTFR-2026-AVI-0998.

A métrica publicada para CVE-2026-66763 é CVSS 3.1, 7.9/10. O vetor descreve pré-requisitos técnicos; não mede a frequência dos ataques nem a probabilidade de comprometimento da instalação.

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N

Vetor de ataque
local
Privilégios prévios
alto
Interação do utilizador
nenhum
Complexidade
baixo
Fraqueza
CWE-321

Escolher a intervenção adequada

  1. Localize instâncias de Change and Transport System Attach Tool (ctsattach), versões em execução e responsáveis. Registe a condição CTS_UPLOAD_CLT 1 última atualização de segurança ausente juntamente com CERTFR-2026-AVI-0998.
  2. Compare o ramo instalado com as notas do fornecedor de Change and Transport System Attach Tool (ctsattach). Prepare o pacote desse ramo e um teste do serviço dependente, conservando o estado inicial.
  3. Após a alteração de Change and Transport System Attach Tool (ctsattach), volte a recolher a versão carregada e teste o percurso indicado. Cada exceção exige responsável, redução da exposição e prazo.

Verificar a correção num percurso real

Cenário de verificação a adaptar a Data Services Management Console: Para Change and Transport System Attach Tool (ctsattach), recolha a versão carregada pelo processo ou núcleo ativo e reinicie apenas conforme as instruções. Verifique um percurso dependente e procure cópias incorporadas em imagens ou executáveis distribuídos. É uma proposta defensiva, não uma afirmação de testes realizados em sistemas de terceiros.

Limite de CERTFR-2026-AVI-0998: esta análise não substitui os pré-requisitos do fornecedor nem a investigação dos registos. Só são reproduzidas versões documentadas; não se inventam datas de ataques ou vítimas.

Perguntas específicas do caso

Que condição verificar para Change and Transport System Attach Tool (ctsattach)?

CERTFR-2026-AVI-0998 indica Change and Transport System Attach Tool (ctsattach) — CTS_UPLOAD_CLT 1 última atualização de segurança ausente. Confirme edição e versão ativa; não estenda o limite a ramos ausentes do aviso.

Porque não aplicar uma única correção a Data Services Management Console e Social Intelligence?

CERTFR-2026-AVI-0998 distingue estes componentes num âmbito de 25 entradas. Cada ramo exige comparação com a sua documentação e um teste funcional próprio.

Que pré-requisitos especifica a ficha CVE-2026-66763?

Para CVE-2026-66763, o vetor publicado é CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N. Verifique essas condições em SAP BusinessObjects Business Intelligence Platform (Central Management Server) antes de as aplicar a uma integração citada em CERTFR-2026-AVI-0998.

Fontes e leituras relacionadas

Guia prático : Priorize as vulnerabilidades e verifique a remediação.

Aprofundar a decisão deste caso

Inventário completo do aviso original

A tabela do artigo pode ser um excerto. Estas listas incluem todas as entradas de sistemas afetados e CVE da revisão indicada. Não inventariam os seus ativos nem associam cada CVE a cada produto.

Fonte oficial · CERTFR-2026-AVI-0998
Revisão do aviso : · Verificado em :

Sistemas afetados · 25

Mantém-se o texto francês original para evitar traduções ambíguas das condições de versão.

  1. Data Services Management Console versions SBOP_DS_MANAGEMENT_CONSOLE 4.3 et 2025 sans le dernier correctif de sécurité
  2. Change and Transport System Attach Tool (ctsattach) version CTS_UPLOAD_CLT 1 sans le dernier correctif de sécurité
  3. Business AI Platform (Approuter) version <23.0.0 sans le dernier correctif de sécurité
  4. Commerce Cloud versions COM_CLOUD 2211, 2211-JDK21, DHUB_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  5. ABAP Platform versions KRNL64UC 7.53, KERNEL 7.53, 7.54 et 7.77 sans le dernier correctif de sécurité
  6. NetWeaver AS Java (Adobe Document Services) version ADSSAP 7.50 sans le dernier correctif de sécurité
  7. NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard versions SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758 et SAP_BASIS 816 sans le dernier correctif de sécurité
  8. SAPSPrint Service versions SAPSPRINT 8.00 et 8.10 sans le dernier correctif de sécurité
  9. Commerce Cloud (Bouncy Castle Java library) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  10. S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools) versions S4CORE 104, 105, 106, 107, 108, 109, ENTERPRISE 430 et 2025 sans le dernier correctif de sécurité
  11. SAPUI5 versions SAP_UI 750, 754, 755, 756, 757, 758, 816 et UI_700 200 sans le dernier correctif de sécurité
  12. AP FICA ODN framework versions SAPSCORE 132, S4CORE 102, 103, 104, 105, 106, 107, 108, FI-CA 606, 616, 617 et 618 sans le dernier correctif de sécurité
  13. NetWeaver Application Server ABAP and ABAP Platform versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, KERNEL 7.22, 7.53, 7.54, 7.77, 7.93 et 9.16 sans le dernier correctif de sécurité
  14. BusinessObjects Business Intelligence versions ENTERPRISE 430, 2025, 2027, ENTERPRISECLIENTTOOLS 430, 2025 et 2027 sans le dernier correctif de sécurité
  15. Commerce Cloud and Data Hub (Apache Log4j Core) versions COM_CLOUD 2211, 2211-JDK21 et DHUB_CLOUD 2211 sans le dernier correctif de sécurité
  16. S/4 HANA (Reprocess Bank Statement Items) versions S4CORE 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
  17. Advanced Planning and Optimization (Model Mix Planning) versions SCMAPO 713, 714, S4CORE 102, 103, 104, S4COREOP 104, 105, 106, 107, 108, 109, SCM 700, 701, 702 et 712 sans le dernier correctif de sécurité
  18. Manufacturing Integration and Intelligence versions XMII 15.4, 15.5, MII_ADMIN 15.4 et 15.5 sans le dernier correctif de sécurité
  19. Commerce Cloud (Data Hub Adapter) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  20. Commerce Cloud (Search and Navigation) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  21. ABAP Developer Tools versions SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918 et SAP_BASIS 920 sans le dernier correctif de sécurité
  22. NetWeaver Application Server ABAP versions SAP_UI 754, 755, 756, 757, 758, 816, EP-FLP 7.50, SAP_BASIS 731 et AJAX-RUNTIME 7.50 sans le dernier correctif de sécurité
  23. BusinessObjects Business Intelligence Platform (Central Management Server) versions SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918, SAP_BASIS 920, ENTERPRISE 430, 2025 et 2027 sans le dernier correctif de sécurité
  24. NetWeaver and ABAP Platform versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.22EXT2, 7.22EXT3, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16 9.18, 9.19, KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18 et 9.19 sans le dernier correctif de sécurité
  25. Social Intelligence versions S4FND 102, 103, 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
Identificadores CVE · 42