搜索

[16646] 2021-04-08_小心！关键任务SAP应用程序受到攻击

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-04-08_小心！关键任务SAP应用程序受到攻击 小 心 ！ 关 键 任 务 S A P 应 用 程 序 受 到 攻 击 三 分 浅 土   F r e e B u f   2 0 2 1 - 0 4 - 0 8 安 装 于 企 业 内 部 的 S A P 系 统 （ 企 业 资 源 规 划 系 统 ） 在 发 布 更 新 后 的 7 2 小 时 之 内 ， 遭 到 了 黑 客 的 密 集 攻 击 。 黑 客 们 利 用 还 未 及 时 打 补 丁 的 漏 洞 ， 对 企 业 和 政 府 部 门 发 起 攻 击 。 全 球 有 4 0 多 万 家 企 业 和 9 2 % 的 福 布 斯 全 球 2 0 0 0 强 企 业 使 用 S A P 的 企 业 应 用 程 序 进 行 供 应 链 管 理 ( S C M ) 、 企 业 资 源 规 划 ( E R P ) 、 产 品 生 命 周 期 管 理 ( P L M ) 和 客 户 关 系 管 理 ( C R M ) 。 目 前 ， S A P 公 司 和 云 安 全 公 司 O n a p s i s 已 经 对 此 发 出 了 警 告 ， 并 且 与 网 络 安 全 和 基 础 设 施 安 全 机 构 （ C I S A ） 以 及 德 国 网 络 安 全 机 构 B S I 发 起 了 合 作 ， 来 督 促 S A P 的 客 户 及 时 部 署 补 丁 ， 并 检 查 他 们 的 环 境 中 是 否 存 在 不 安 全 的 应 用 程 序 。 被 针 对 的 被 针 对 的 S A P 漏 洞 漏 洞 O n a p s i s 和 S A P 合 作 的 威 胁 情 报 显 示 ， 他 们 目 前 没 有 发 现 有 客 户 已 经 受 到 此 次 恶 意 活 动 的 攻 击 而 造 成 损 失 。 但 是 ， 报 告 表 示 S A P 客 户 的 环 境 中 仍 然 有 不 安 全 的 应 用 程 序 ， 并 通 过 本 应 在 几 年 前 就 被 打 补 丁 的 攻 击 载 体 将 组 织 暴 露 在 渗 透 企 图 中 。 自 2 0 2 0 年 中 期 ， O n a p s i s 开 始 记 录 针 对 未 打 补 丁 的 S A P 应 用 的 利 用 尝 试 以 来 ， 该 公 司 的 研 究 人 员 发 现   “ 在 2 0 2 0 年 6 月 至 2 0 2 1 年 3 月 期 间 ， 来 自 近 2 0 个 国 家 的 黑 客 发 起 了 1 5 0 0 次 攻 击 尝 试 ， 成 功 利 用 了 3 0 0 次 ” 。 这 些 攻 击 背 后 的 黑 客 利 用 了 S A P 应 用 程 序 中 的 多 个 安 全 漏 洞 和 不 安 全 配 置 ， 试 图 入 侵 目 标 系 统 。 此 外 ， 他 们 中 的 一 些 黑 客 ， 同 时 在 攻 击 中 利 用 多 个 漏 洞 进 行 串 联 ， 以   “ 最 大 限 度 地 扩 大 影 响 和 潜 在 的 破 坏 ” 。 针 对 脆 弱 的 S A P 应 用 程 序 的 攻 击 ( S A P / O n a p s i s ) O n a p s i s 表 示 ， 他 们 观 察 到 黑 客 可 以 利 用 技 术 来 对 不 安 全 的 S A P 应 用 程 序 进 行 完 全 控 制 ， 并 且 可 以 绕 过 常 见 的 安 全 性 和 合 规 性 控 制 ， 来 使 攻 击 者 能 够 通 过 部 署 勒 索 软 件 或 停 止 企 业 系 统 运 营 来 窃 取 敏 感 数 据 、 执 行 财 务 欺 诈 或 破 坏 关 键 任 务
业 务 流 程 。 威 胁 报 告 中 公 布 的 漏 洞 和 攻 击 方 式 如 下 ： 1 . 针 对 不 安 全 的 高 权 限 S A P 用 户 账 户 进 行 蛮 力 攻 击 。 2 . C V E - 2 0 2 0 - 6 2 8 7 ( 又 名 R E C O N ) ： 一 个 可 远 程 利 用 的 预 认 证 漏 洞 ， 能 够 使 未 经 认 证 的 攻 击 者 接 管 脆 弱 的 S A P 系 统 。 3 . C V E - 2 0 2 0 - 6 2 0 7 ： 超 危 预 认 证 漏 洞 ， 可 能 导 致 进 攻 者 接 管 未 打 补 丁 的 S A P 系 统 。 （ 漏 洞 已 于 2 0 2 1 年 1 月 发 布 在 G i t h u b 上 ） 。 4 . C V E - 2 0 1 8 - 2 3 8 0 ： 使 黑 客 能 够 升 级 权 限 并 执 行 操 作 系 统 命 令 ， 从 而 获 得 对 数 据 库 的 访 问 权 ， 并 在 网 络 中 横 向 移 动 。 5 . C V E - 2 0 1 6 - 9 5 ： 攻 击 者 可 以 利 用 这 个 漏 洞 触 发 拒 绝 服 务 （ D o S ） 状 态 ， 并 获 得 对 敏 感 信 息 的 未 授 权 访 问 。 6 . C V E - 2 0 1 6 - 3 9 7 6 ： 远 程 攻 击 者 可 以 利 用 它 来 升 级 权 限 ， 并 通 过 目 录 遍 历 序 列 读 取 任 意 文 件 ， 从 而 导 致 未 经 授 权 的 信 息 泄 露 。 7 . C V E - 2 0 1 0 - 5 3 2 6 ： 允 许 未 经 授 权 的 黑 客 执 行 操 作 系 统 命 令 ， 并 访 问 S A P 应 用 程 序 和 连 接 的 数 据 库 ， 从 而 获 得 对 S A P 业 务 信 息 和 流 程 的 完 全 和 未 经 审 计 的 控 制 。 根 据 C I S A 发 布 的 警 报 ， 受 到 这 些 攻 击 的 组 织 可 能 会 产 生 以 下 影 响 ： 敏 感 数 据 被 盗 金 融 欺 诈 关 键 任 务 业 务 流 程 中 断 勒 索 软 件 攻 击 停 止 所 有 操 作 为 脆 弱 的 S A P 系 统 及 时 打 上 补 丁 是 所 有 企 业 组 织 目 前 的 首 要 任 务 。 O n a p s i s 还 指 出 ， 攻 击 者 在 更 新 发 布 后 的 7 2 小 时 之 内 就 开 始 瞄 准 关 键 的 S A P 漏 洞 。 暴 露 和 未 打 补 丁 的 S A P 应 用 程 序 在 不 到 3 小 时 就 会 被 攻 破 。 缓 解 威 胁 的 措 施 缓 解 威 胁 的 措 施 这 些 被 滥 用 的 漏 洞 只 影 响 企 业 内 部 的 部 署 ， 包 括 那 些 在 他 们 自 己 的 数 据 中 心 、 管 理 的 主 机 托 管 环 境 或 客 户 维 护 的 云 基 础 设 施 。 S A P 维 护 的 云 解 决 方 案 不 受 这 些 漏 洞 的 影 响 。 为 了 减 轻 风 险 ， S A P 客 户 可 采 取 的 行 动 如 下 ： 、
1 . 立 即 对 暴 露 在 上 述 漏 洞 中 的 S A P 应 用 程 序 以 及 未 及 时 安 装 补 丁 的 S A P 应 用 程 序 进 行 入 侵 评 估 。 优 先 考 虑 连 网 的 S A P 应 用 程 序 。 2 . 立 即 评 估 S A P 环 境 中 所 有 应 用 程 序 的 风 险 ， 并 立 即 应 用 相 关 S A P 安 全 补 丁 和 安 全 配 置 。 3 . 立 即 评 估 S A P 应 用 程 序 是 否 存 在 配 置 错 误 或 未 经 授 权 的 高 权 限 用 户 ， 并 对 有 风 险 的 应 用 程 序 进 行 入 侵 评 估 。 4 . 如 果 经 过 评 估 的 S A P 应 用 程 序 目 前 已 经 暴 露 ， 并 且 不 能 及 时 应 用 缓 解 措 施 ， 则 应 部 署 补 偿 控 制 并 监 控 活 动 ， 以 检 测 任 何 潜 在 的 威 胁 活 动 ， 直 到 实 施 缓 解 措 施 。 精 精 彩 彩 推 推 荐 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理