搜索

[1260] 2017-03-17_关于SAP云商务平台HANA系统存在多个高危漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-16
2017-03-17_关于SAP云商务平台HANA系统存在多个高危漏洞的安全公告 关 于 S A P 云 商 务 平 台 H A N A 系 统 存 在 多 个 高 危 漏 洞 的 安 全 公 告 C N V D 漏 洞 平 台   2 0 1 7 - 0 3 - 1 7 安 全 公 告 编 号 安 全 公 告 编 号 : C N T A - 2 0 1 7 - 0 0 1 8   近 期 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 S A P 云 商 务 平 台 H A N A 系 统 存 在 多 个 漏 洞 中 的 两 个 关 键 漏 洞 ： H A N A 自 助 服 务 身 份 认 证 漏 洞 与 会 话 固 定 （ S e s s i o n   F i x a t i o n ） 漏 洞 （ C N V D - 2 0 1 7 - 0 2 7 9 9 、 C N V D - 2 0 1 7 - 0 2 8 0 2 ） 。 利 用 这 些 漏 洞 ， 外 部 或 内 部 攻 击 者 未 经 任 何 身 份 认 证 就 能 够 冒 用 其 他 用 户 甚 至 是 高 权 限 用 户 身 份 ， 远 程 控 制 S A P   H A N A 平 台 ， 使 得 平 台 上 承 载 的 企 业 和 组 织 信 息 和 业 务 安 全 可 能 面 临 严 重 威 胁 。   一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 S A P 是 总 部 位 于 德 国 沃 尔 多 夫 市 的 全 球 最 大 的 企 业 管 理 和 协 同 化 电 子 商 务 解 决 方 案 供 应 商 。 H A N A ( H i g h - P e r f o r m a n c e A n a l y t i c   A p p l i a n c e ) 是 一 个 软 硬 件 结 合 体 的 内 存 数 据 库 ， 大 量 应 用 于 实 时 业 务 数 据 的 查 询 和 分 析 。 根 据 国 外 安 全 公 司   O n a p s i s R e s e a r c h   L a b s   的 报 告 ， 其 发 现 S A P 云 商 务 平 台   H A N A   中 存 在 2 7 个 漏 洞 ， 其 中 有 两 个 关 键 漏 洞 ： （ 一 ） S A P   H A N A 自 助 服 务 工 具 身 份 认 证 漏 洞 。 该 工 具 允 许 用 户 激 活 一 些 额 外 的 功 能 ， 如 修 改 密 码 、 密 码 重 置 、 用 户 自 注 册 等 功 能 ， 但 却 存 在 身 份 认 证 漏 洞 ， 攻 击 者 不 需 要 经 过 任 何 验 证 ， 可 利 用 漏 洞 通 过 H A N A 的 用 户 自 助 服 务 元 件 入 侵 整 个 系 统 。 （ 二 ） S A P H A N A 自 助 服 务 存 在 会 话 固 定 漏 洞 （ S e s s i o n   F i x a t i o n ） 。 外 部 或 内 部 攻 击 者 未 经 任 何 身 份 认 证 就 能 够 使 用 其 他 用 户 甚 至 是 高 权 限 用 户 会 话 权 限 ， 在 不 需 要 用 户 名 和 密 码 的 情 况 下 修 改 、 窃 取 或 删 除 敏 感 资 料 。     C N V D 对 上 述 漏 洞 的 技 术 评 级 为 “ 高 危 ” 。   二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 漏 洞 影 响 S A P   H A N A 2 及 以 往 旧 版 本 ， 包 括 S A P   H A N A   S P S 0 9 等 。 根 据 C N V D 秘 书 处 普 查 结 果 ， 互 联 网 上 共 有 约 2 . 4 万 台 标 记 为 S A P   H A N A 云 商 务 平 台 的 主 机 I P ， 其 中 排 名 前 五 的 国 家 和 地 区 分 别 是 美 国 （ 占 比 3 5 . 7 % ） 、 韩 国 （ 1 0 . 8 % ） 、 德 国 （ 1 0 . 1 % ） 、 中 国 大 陆 地 区 （ 6 . 9 % ） 以 及 印 度 （ 3 . 0 % ） 。 三 、 漏 洞 修 复 建 议 三 、 漏 洞 修 复 建 议 C N V D 提 醒 用 户 及 时 的 更 新 系 统 到 官 方 最 新 版 本 。 运 行 老 旧 的 系 统 或 不 当 的 配 置 都 会 影 响 S A P   H A N A 业 务 系 统 的 安 全 性 ， 增 加 数 据 丢 失 的 风 险 。 也 可 以 通 过 以 下 临 时 解 决 方 案 ： 禁 用 用 户 自 助 服 务 , 或 添 加 网 络 边 界 设 备 访 问 控 制 措 施 。 详 细 漏 洞 信 息 可 参 考 S A P   H A N A 自 助 服 务 漏 洞 专 用 网 站 ： h t t p s : / / w w w . o n a p s i s . c o m / t h r e a t - r e p o r t - u n d e r s t a n d i n g - s a p - h a n a - u s e r - s e l f - s e r v i c e - v u l n e r a b i l i t y 附 ： 参 考 链 接 ： h t t p s : / / w w w . o n a p s i s . c o m / b l o g / s a p - s e c u r i t y - n o t e s - m a r c h - 2 0 1 7 - o n a p s i s - h e l p s - s e c u r e - c r i t i c a l - b u g s - s a p - h a n a h t t p : / / w w w . c n v d . o r g . c n / f l a w / s h o w / C N V D - 2 0 1 7 - 0 2 7 9 9 h t t p : / / w w w . c n v d . o r g . c n / f l a w / s h o w / C N V D - 2 0 1 7 - 0 2 8 0 2 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理