搜索

[7173] 2020-12-29_致命漏洞使黑客轻易攻破SAP系统

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2020-12-29_致命漏洞使黑客轻易攻破SAP系统 致 命 漏 洞 使 黑 客 轻 易 攻 破 S A P 系 统 原 创   安 全 小 E   E 安 全   2 0 2 0 - 1 2 - 2 9 E 安 全 安 全 1 2 月 月 2 9 日 讯 日 讯         近 期 ， 据 研 究 报 告 建 议 ， S A P 用 户 应 立 即 部 署 一 个 针 对 严 重 漏 洞 的 新 发 布 补 丁 ， 该 漏 洞 可 能 允 许 黑 客 破 坏 其 系 统 和 其 中 包 含 的 数 据 。 该 漏 洞 存 在 于 大 多 数 S A P 部 署 中 默 认 存 在 的 核 心 组 件 中 ， 无 需 用 户 名 和 密 码 即 可 进 行 远 程 利 用 。 安 全 公 司 O n a p s i s 的 研 究 人 员 发 现 并 报 告 了 这 个 漏 洞 ， 他 们 估 计 全 球 有 4 万 S A P 客 户 可 能 受 到 影 响 。 超 过 超 过 2 5 0 0 个 易 受 攻 击 的 个 易 受 攻 击 的 S A P 系 统 直 接 暴 露 在 系 统 直 接 暴 露 在 i n t e r n e t 上 ， 它 们 面 临 被 黑 客 攻 上 ， 它 们 面 临 被 黑 客 攻 击 的 更 高 风 险 ， 击 的 更 高 风 险 ， 但 是 能 够 访 问 本 地 网 络 的 攻 击 者 可 能 会 危 及 其 他 部 署 。 该 漏 洞 被 追 踪 为 C V E - 2 0 2 0 - 6 2 8 7 ， 位 于 S A P   N e t W e a v e r 应 用 服 务 器 J a v a 中 ， 这 是 大 多 数 S A P 企 业 应 用 程 序 的 底 层 软 件 堆 栈 。 N e t W e a v e r   J a v a 的 7 . 3 0 到 7 . 5 0 版 本 受 到 影 响 — — 包 括
S A P 企 业 应 用 程 序 的 底 层 软 件 堆 栈 。 N e t W e a v e r   J a v a 的 7 . 3 0 到 7 . 5 0 版 本 受 到 影 响 — — 包 括 最 新 版 本 — — 以 及 S A P 发 布 的 所 有 支 持 包 ( S P s ) 。 这 个 漏 洞 ， 也 被 称 为 也 被 称 为 R E C O N   ( N e t W e a v e r 上 的 远 程 可 利 用 代 码 上 的 远 程 可 利 用 代 码 ) ， 在 常 见 漏 洞 评 分 系 ， 在 常 见 漏 洞 评 分 系 统 统 ( C V S S ) 中 有 最 高 的 可 能 的 严 重 等 级 中 有 最 高 的 可 能 的 严 重 等 级 ( 1 0 ) ， ， 因 为 它 可 以 在 没 有 身 份 验 证 的 情 况 下 通 过 H T T P 被 利 用 ， 并 可 以 导 致 系 统 的 完 全 妥 协 。 该 漏 洞 允 许 攻 击 者 创 建 一 个 具 有 管 理 角 色 的 新 用 户 ， 绕 过 现 有 的 访 问 控 制 和 职 责 分 离 。 O n a p s i s 在 一 份 通 知 中 警 告 说 : “ 拥 有 对 系 统 的 管 理 权 限 将 允 许 攻 击 者 管 理 ( 读 取 / 修 改 / 删 除 ) 系 统 中 的 每 条 数 据 库 记 录 或 文 件 。 ”   “ 由 于 攻 击 者 利 用 未 修 补 的 系 统 可 以 获 得 不 受 限 制 的 访 问 类 型 ， 这 个 漏 洞 也 可 能 构 成 企 业 I T 控 制 的 监 管 要 求 的 缺 陷 — — 潜 在 地 影 响 财 务 ( 萨 班 斯 - 奥 克 斯 利 法 案 ) 和 隐 私 ( G D P R ) 遵 从 性 。 ” 该 漏 洞 使 组 织 容 易 受 到 各 种 类 型 的 攻 击 。 黑 客 可 以 利 用 它 窃 取 员 工 、 客 户 和 供 应 商 的 个 人 身 份 信 息 ( P I I ) ； 阅 读 、 修 改 、 删 除 财 务 记 录 ； 更 改 银 行 细 节 以 转 移 付 款 和 修 改 采 购 流 程 ； 腐 败 的 数 据 ; 或 中 断 系 统 的 运 行 ， 由 于 业 务 停 机 造 成 财 务 损 失 。 该 漏 洞 还 允 许 攻 击 者 通 过 删 除 日 志 和 使 用 S A P 应 用 程 序 的 特 权 在 操 作 系 统 上 执 行 命 令 来 隐 藏 他 们 的 踪 迹 。 受 影 响 的 S A P 应 用 包 括 S A P   S / 4 H A N A   J a v a 、 S A P 企 业 资 源 规 划 ( E R P ) 、 S A P 供 应 链 管 理 ( S C M ) 、 S A P   C R M   ( J a v a   S t a c k ) 、 S A P 企 业 门 户 、 S A P 人 力 资 源 门 户 、 S A P 解 决 方 案 管 理 ( S o l M a n )   7 . 2 、 S A P 景 观 管 理 ( S A P   L a M a ) 、 S A P 流 程 集 成 / 编 排 ( S A P   P I / P O ) 、 S A P 供 应 商 关 系 。 注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m
推 荐 阅 读 ： 年 度 特 刊   |   2 0 2 0 年 网 络 安 全 盘 点 勒 索 软 件 攻 击 将 变 得 更 具 破 坏 性 2 0 2 0 年 全 球 新 账 户 欺 诈 同 比 下 降 2 3 . 2 % 勒 索 软 件 攻 击 在 2 0 2 0 年 第 三 季 度 激 增 拜 登 将 对 俄 罗 斯 黑 客 施 加 惩 罚 ： 制 裁 与 网 络 反 击 ▼ 稿 件 合 作     1 5 5 5 8 1 9 2 9 5 9     小 E 微 信 号 ： E a n q u a n 0 9 1 4 喜 欢 记 得 打 赏 小 E 哦 ！ 我 就 知 道 你 “ 在 看 ”
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理