搜索

[12721] 2018-05-19_13年前的安全配置缺陷仍影响着目前多数SAP系统

文档创建者：s7ckTeam
浏览次数：24
最后更新：2025-01-18
2018-05-19_13年前的安全配置缺陷仍影响着目前多数SAP系统 1 3 年 前 的 安 全 配 置 缺 陷 仍 影 响 着 目 前 多 数 S A P 系 统 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 0 5 - 1 9 O n a p s i s 的 最 新 调 查 发 现 ， 当 初 的 最 新 调 查 发 现 ， 当 初 2 0 0 5 年 被 发 现 的 一 个 安 全 配 置 漏 洞 现 在 仍 影 响 着 当 前 绝 大 多 数 的 年 被 发 现 的 一 个 安 全 配 置 漏 洞 现 在 仍 影 响 着 当 前 绝 大 多 数 的 S A P 系 统 。 系 统 。 尽 管 之 前 已 经 有 了 很 多 针 对 这 些 安 全 问 题 的 解 决 方 案 ， 但 是 被 忽 略 的 安 全 配 置 问 题 以 及 操 作 人 员 无 意 间 留 下 的 配 置 错 误 都 会 让 S A P 系 统 的 安 全 性 受 到 严 重 影 响 。 O n a p s i s 是 一 家 专 门 针 对 S A P 系 统 和 O r a c l e 应 用 程 序 安 全 的 公 司 ， 根 据 O n a p s i s 的 最 新 研 究 ， 目 前 市 场 上 平 均 1 0 个 S A P 系 统 中 就 有 9 个 存 在 这 样 的 安 全 配 置 漏 洞 。 这 种 安 全 漏 洞 会 影 响 S A P   N e t w e a v e r 系 统 ， 未 经 身 份 验 证 的 攻 击 者 可 以 远 程 利 用 这 种 漏 洞 并 拿 到 系 统 的 网 络 访 问 权 。 拿 到 目 标 系 统 的 网 络 访 问 权 之 后 ， 攻 击 者 将 能 够 入 侵 整 个 网 络 平 台 并 从 其 中 的 硬 件 系 统 中 提 取 数 据 或 关 闭 设 备 。 所 有 的 S A P   N e t w e a v e r 系 统 版 本 都 会 受 到 该 漏 洞 的 影 响 ， 因 为 S A P   N e t w e a v e r 是 所 有 S A P 系 统 实 现 的 基 础 ， O n a p s i s 表 示 ， 目 前 全 球 范 围 内 大 约 有 3 7 . 8 万 的 用 户 仍 会 受 到 该 漏 洞 的 影 响 。 这 个 漏 洞 存 在 于 所 有 以 N e t w e a v e r 为 基 础 实 现 的 S A P 产 品 中 ， 甚 至 下 一 代 数 字 商 业 套 件 S / 4 H A N A 也 难 以 幸 免 。 在 漏 洞 的 详 细 描 述 报 告 中 ， O n a p s i s 解 释 称 ， S A P 主 要 通 过 A C L （ 访 问 控 制 列 表 ） 来 实 现 其 保 护 机 制 ， 并 确 保 S A P 应 用 程 序 服 务 器 的 注 册 是 在 S A P 消 息 服 务 器 的 正 常 工 作 下 实 现 的 。 注 册 操 作 的 执 行 使 用 的 是 内 部 端 口 3 9 （ 默 认 为 3 9 0 0 ） ， 而 S A P 在 2 0 1 0 年 曾 发 布 了 一 份 安 全 公 告 ， 并 强 调 该 端 口 应 该 添 加 额 外 的 安 全 保 护 ， 并 只 能 给 受 信 任 的 应 用 程 序 I P 地 址 所 访 问 。 消 息 服 务 器 A C L 主 要 用 于 检 查 哪 一 个 应 用 程 序 I P 地 址 可 以 进 行 注 册 ， 哪 一 个 不 可 以 注 册 ， 这 一 切 通 过 一 个 配 置 参 数 （ m s / a c l _ i n f o ） 来 实 现 ， 而 这 个 参 数 中 包 含 了 特 定 格 式 的 指 向 目 标 文 件 的 路 径 地 址 。 S A P 还 在 2 0 1 5 年 发 布 的 一 份 安 全 公 告 中 详 细 介 绍 了 如 何 正 确 配 置 这 份 文 件 。
O n a p s i s 解 释 称 ， 这 个 参 数 是 使 用 默 认 值 进 行 配 置 的 ， 而 且 A C L 内 容 也 是 开 放 的 ， 因 此 拥 有 网 络 访 问 权 的 任 意 主 机 都 能 够 在 S A P 系 统 的 S A P 消 息 服 务 器 中 注 册 一 个 应 用 程 序 服 务 器 。 通 过 利 用 S A P 系 统 中 消 息 服 务 器 的 安 全 配 置 缺 陷 ， 攻 击 者 能 够 注 册 一 台 伪 造 的 应 用 程 序 服 务 器 ， 并 通 过 服 务 器 实 现 对 目 标 系 统 的 完 全 入 侵 ， 然 后 再 进 行 下 一 步 更 加 复 杂 的 攻 击 操 作 。 此 时 ， 攻 击 者 需 要 使 用 A C L 中 的 默 认 配 置 访 问 消 息 服 务 器 的 内 部 端 口 ， 而 此 时 的 S A P 消 息 服 务 器 A C L 将 形 同 虚 设 。 因 此 安 全 专 家 建 议 ， 各 大 部 署 了 S A P 系 统 的 组 织 应 该 对 系 统 中 的 相 关 配 置 进 行 持 续 性 监 测 ， 并 不 断 检 测 系 统 中 的 可 疑 行 为 ， 以 确 保 相 关 问 题 不 会 对 整 体 网 络 系 统 产 生 进 一 步 威 胁 。 “ 虽 然 现 在 大 部 分 人 都 将 自 己 的 注 意 力 放 在 了 新 出 现 的 安 全 漏 洞 上 ， 但 很 多 隐 藏 了 多 年 的 安 全 漏 洞 可 能 给 我 们 带 来 的 威 胁 会 更 严 重 ， 而 且 受 影 响 范 围 可 能 还 会 更 大 。 也 就 是 说 ， 为 了 确 保 自 身 的 安 全 ， 组 织 应 该 腾 出 一 定 的 时 间 和 薪 资 空 间 来 为 自 己 的 基 础 设 施 制 定 一 系 列 安 全 检 测 和 升 级 计 划 ， 并 将 某 些 遗 留 问 题 所 带 来 的 影 响 降 至 最 低 。 ” *   参 考 来 源 ： 参 考 来 源 ： s e c u r i t y w e e k ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理