Data Services Management Console: защитить запросы к данным

Опубликовано · Обновлено · API и интеграции · 8 мин чтения · Автор Cyber Intelligence Embassy

Кратко

Data Services Management Console: SQL-инъекцию. Разбор за 2026-08-11: 25 записей версий и 42 CVE, документированные версии и проверки для направления «платформы выполнения» на основе CERTFR-2026-AVI-0998.

ИИ-иллюстрация: тёмное техническое помещение кибербезопасности с золотистым освещением Иллюстрация · вымышленная сцена
В этой статье

Ретроспектива за 2026-08-11, подготовленная 27 октября 2026 года. Дата обозначает рассматриваемый день; даты публикации и редакции источников указаны ниже.

Что меняет бюллетень для вашей среды

Отправная точка — CERTFR-2026-AVI-0998, опубликованный 2026-08-11. В область входят Data Services Management Console, Change and Transport System Attach Tool (ctsattach), Business AI Platform (Approuter), Commerce Cloud, ABAP Platform, NetWeaver AS Java (Adobe Document Services), NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard, SAPSPrint Service, Commerce Cloud (Bouncy Castle Java library), S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools), SAPUI5, AP FICA ODN framework. Указанные последствия: межсайтовый скриптинг XSS, удалённое выполнение кода, SQL-инъекцию, уточняемое производителем воздействие, обход защитных механизмов, нарушение конфиденциальности, повышение привилегий. Они относятся к области бюллетеня; каждое последствие не приписывается каждому продукту или CVE.

В разборе 25 записей версий и 42 идентификаторов CVE. Отслеживайте исправления по компонентам: общий успех обновления не доказывает отдельное исправление Data Services Management Console и Social Intelligence.

Продукты и версии для проверки

Идентификатор
CERTFR-2026-AVI-0998
Первая публикация источника
2026-08-11
Последняя доступная на этот день редакция
2026-08-11
Указанные компоненты
Data Services Management Console, Change and Transport System Attach Tool (ctsattach), Business AI Platform (Approuter), Commerce Cloud, ABAP Platform, NetWeaver AS Java (Adobe Document Services), NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard, SAPSPrint Service, Commerce Cloud (Bouncy Castle Java library), S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools), SAPUI5, AP FICA ODN framework, NetWeaver Application Server ABAP and ABAP Platform, BusinessObjects Business Intelligence, Commerce Cloud and Data Hub (Apache Log4j Core), S/4 HANA (Reprocess Bank Statement Items), Advanced Planning and Optimization (Model Mix Planning), Manufacturing Integration and Intelligence, Commerce Cloud (Data Hub Adapter), Commerce Cloud (Search and Navigation), ABAP Developer Tools, NetWeaver Application Server ABAP, BusinessObjects Business Intelligence Platform (Central Management Server), NetWeaver and ABAP Platform, Social Intelligence
Идентификаторы CVE
CVE-2026-33871, CVE-2026-66760, CVE-2026-58247, CVE-2026-40130, CVE-2026-66774, CVE-2026-58238, CVE-2026-66772, CVE-2026-44764, CVE-2026-58241, CVE-2026-58248, CVE-2026-66770, CVE-2025-58057, CVE-2025-42947, CVE-2026-58237, CVE-2026-5598, CVE-2026-66779, CVE-2026-34480, CVE-2026-66775, CVE-2026-58243, CVE-2026-66771, CVE-2026-58239, CVE-2026-66773, CVE-2026-44765, CVE-2026-58235 … (+18)
КомпонентОпубликованное условие
Change and Transport System Attach Tool (ctsattach)CTS_UPLOAD_CLT 1 отсутствует последнее обновление безопасности
Business AI Platform (Approuter)<23.0.0 отсутствует последнее обновление безопасности
NetWeaver AS Java (Adobe Document Services)ADSSAP 7.50 отсутствует последнее обновление безопасности

Для Change and Transport System Attach Tool (ctsattach) опубликовано условие «CTS_UPLOAD_CLT 1 отсутствует последнее обновление безопасности». Сравнивайте реально загруженную версию с этим условием в её собственной ветке. Исправление другой редакции Data Services Management Console не закрывает данный случай.

Механизм и предварительные условия

SQL-инъекция смешивает данные и команды. Проверьте параметризованные запросы, права базы данных и журналы; разрушительная тестовая нагрузка не требуется.

Первичная запись CVE-2026-66763, опубликованная sap, охватывает SAP BusinessObjects Business Intelligence Platform (Central Management Server). Использованная редакция датирована 2026-08-11. Её область отделена от интеграций и групп продуктов в CERTFR-2026-AVI-0998.

Опубликованная оценка CVE-2026-66763: CVSS 3.1, 7.9/10. Вектор описывает технические условия, а не частоту атак или вероятность компрометации вашей установки.

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N

Вектор атаки
локальный
Исходные привилегии
высокая
Участие пользователя
не требуются
Сложность
низкая
Тип недостатка
CWE-321

Выбор подходящего вмешательства

  1. Найдите экземпляры Change and Transport System Attach Tool (ctsattach), работающие версии и ответственных. Зафиксируйте условие CTS_UPLOAD_CLT 1 отсутствует последнее обновление безопасности вместе с CERTFR-2026-AVI-0998.
  2. Сопоставьте установленную ветку с инструкциями поставщика Change and Transport System Attach Tool (ctsattach). Подготовьте пакет для этой ветки и тест зависимого сервиса; сохраните исходное состояние.
  3. После изменения Change and Transport System Attach Tool (ctsattach) снова определите загруженную версию и проверьте описанный процесс. Исключению нужны ответственный, снижение доступности для атаки и срок.

Проверка исправления в рабочем процессе

Сценарий проверки для адаптации к Data Services Management Console: Для Change and Transport System Attach Tool (ctsattach) определите версию, загруженную процессом или активным ядром, и перезапускайте только по инструкции обслуживания. Проверьте зависимый процесс и встроенные копии в образах или распространяемых программах. Это предложение защитной проверки, а не заявление о тестировании чужих систем.

Ограничение CERTFR-2026-AVI-0998: анализ не заменяет требования производителя и исследование журналов. Приведены только документированные версии; даты атак и жертвы не выдумываются.

Вопросы по этому случаю

Какое условие проверить для Change and Transport System Attach Tool (ctsattach)?

CERTFR-2026-AVI-0998 указывает Change and Transport System Attach Tool (ctsattach) — CTS_UPLOAD_CLT 1 отсутствует последнее обновление безопасности. Проверьте редакцию и работающую версию; не распространяйте границу на неуказанные ветки.

Почему одного исправления недостаточно для Data Services Management Console и Social Intelligence?

CERTFR-2026-AVI-0998 различает компоненты в области из 25 записей. Для каждой ветки нужны свои инструкции обновления и функциональная проверка.

Какие условия указаны в записи CVE-2026-66763?

Для CVE-2026-66763 опубликован вектор CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N. Проверьте условия на SAP BusinessObjects Business Intelligence Platform (Central Management Server), прежде чем переносить их на интеграцию из CERTFR-2026-AVI-0998.

Источники и связанные материалы

Практическое руководство : Приоритизация уязвимостей и проверка устранения

Подробнее о решении по этому случаю

Полный перечень исходного бюллетеня

Таблица статьи может быть выдержкой. Здесь приведены все записи затронутых систем и CVE указанной редакции. Это не инвентаризация ваших активов и не соответствие каждой CVE каждому продукту.

Официальный источник · CERTFR-2026-AVI-0998
Редакция бюллетеня : · Проверено :

Затронутые системы · 25

Сохранён французский оригинал, чтобы избежать неоднозначного перевода условий версий.

  1. Data Services Management Console versions SBOP_DS_MANAGEMENT_CONSOLE 4.3 et 2025 sans le dernier correctif de sécurité
  2. Change and Transport System Attach Tool (ctsattach) version CTS_UPLOAD_CLT 1 sans le dernier correctif de sécurité
  3. Business AI Platform (Approuter) version <23.0.0 sans le dernier correctif de sécurité
  4. Commerce Cloud versions COM_CLOUD 2211, 2211-JDK21, DHUB_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  5. ABAP Platform versions KRNL64UC 7.53, KERNEL 7.53, 7.54 et 7.77 sans le dernier correctif de sécurité
  6. NetWeaver AS Java (Adobe Document Services) version ADSSAP 7.50 sans le dernier correctif de sécurité
  7. NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard versions SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758 et SAP_BASIS 816 sans le dernier correctif de sécurité
  8. SAPSPrint Service versions SAPSPRINT 8.00 et 8.10 sans le dernier correctif de sécurité
  9. Commerce Cloud (Bouncy Castle Java library) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  10. S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools) versions S4CORE 104, 105, 106, 107, 108, 109, ENTERPRISE 430 et 2025 sans le dernier correctif de sécurité
  11. SAPUI5 versions SAP_UI 750, 754, 755, 756, 757, 758, 816 et UI_700 200 sans le dernier correctif de sécurité
  12. AP FICA ODN framework versions SAPSCORE 132, S4CORE 102, 103, 104, 105, 106, 107, 108, FI-CA 606, 616, 617 et 618 sans le dernier correctif de sécurité
  13. NetWeaver Application Server ABAP and ABAP Platform versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, KERNEL 7.22, 7.53, 7.54, 7.77, 7.93 et 9.16 sans le dernier correctif de sécurité
  14. BusinessObjects Business Intelligence versions ENTERPRISE 430, 2025, 2027, ENTERPRISECLIENTTOOLS 430, 2025 et 2027 sans le dernier correctif de sécurité
  15. Commerce Cloud and Data Hub (Apache Log4j Core) versions COM_CLOUD 2211, 2211-JDK21 et DHUB_CLOUD 2211 sans le dernier correctif de sécurité
  16. S/4 HANA (Reprocess Bank Statement Items) versions S4CORE 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
  17. Advanced Planning and Optimization (Model Mix Planning) versions SCMAPO 713, 714, S4CORE 102, 103, 104, S4COREOP 104, 105, 106, 107, 108, 109, SCM 700, 701, 702 et 712 sans le dernier correctif de sécurité
  18. Manufacturing Integration and Intelligence versions XMII 15.4, 15.5, MII_ADMIN 15.4 et 15.5 sans le dernier correctif de sécurité
  19. Commerce Cloud (Data Hub Adapter) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  20. Commerce Cloud (Search and Navigation) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  21. ABAP Developer Tools versions SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918 et SAP_BASIS 920 sans le dernier correctif de sécurité
  22. NetWeaver Application Server ABAP versions SAP_UI 754, 755, 756, 757, 758, 816, EP-FLP 7.50, SAP_BASIS 731 et AJAX-RUNTIME 7.50 sans le dernier correctif de sécurité
  23. BusinessObjects Business Intelligence Platform (Central Management Server) versions SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918, SAP_BASIS 920, ENTERPRISE 430, 2025 et 2027 sans le dernier correctif de sécurité
  24. NetWeaver and ABAP Platform versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.22EXT2, 7.22EXT3, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16 9.18, 9.19, KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18 et 9.19 sans le dernier correctif de sécurité
  25. Social Intelligence versions S4FND 102, 103, 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
Идентификаторы CVE · 42