Эксперты Positive Technologies обнаружили уязвимости в решениях SAP

Безопасность Техническая защита
мобильная версия
, Текст: Владимир Бахур

Positive Technologies объявила о том, что эксперты компании обнаружили уязвимости в решениях SAP. Как рассказали CNews в компании, уязвимости были выявлены в программных компонентах SAP Enterprise Portal Navigation, SAPNetWeaver Log Viewer и SAP Enterprise Portal Theme Editor, входящих в состав платформы SAP NetWeaver. Недостатки безопасности позволяют атакующим перехватывать учетные данные для входа, регистрировать нажатия клавиш, подменять данные и выполнять другие нелегитимные действия, вплоть до полной компрометации системы.

В исследовании принимали участие специалисты Positive Technologies Юрий Алейнов, Егор Димитренко, Роман Понеев и Михаил Ключников. Четыре уязвимости межсайтового выполнения сценариев (Cross-Site Scripting,XSS) обнаружены в компонентах корпоративного веб-портала SAP Enterprise Portal — SAP Enterprise PortalNavigation (оценка 6.1 по шкале CVSSv3) и SAP Enterprise Portal Theme Editor (три бреши с оценками 5.4, 6.1 и 6.1 по шкале CVSSv3).

Эксплуатируя данные уязвимости, злоумышленник может получить доступ к токенам сессии жертвы, учетным данным для входа и другой конфиденциальной информации в браузере, выполнить различные действия от имени пользователя, изменить содержимое HTML-страницы, перехватить нажатия клавиш. Рекомендации по устранению этих недостатков описаны в уведомлениях о безопасности (SAP Security note) под номерами 2369469, 2372183, 2372204 и 2377626.

«Крупнейшие компании мира используют SAP для управления финансовыми потоками, жизненным циклом продуктов, взаимоотношением с поставщиками и клиентами, ресурсами предприятий, поставками и другими критически важными бизнес-процессами. Поэтому защищенность хранящейся в системах SAPинформации играет огромное значение, а нарушение конфиденциальности таких данных может привести к катастрофическим последствиям для бизнеса», — отметил руководитель отдела безопасности бизнес-систем Positive Technologies Дмитрий Гуцко.

Еще одна уязвимость — обход каталога (Directory Traversal, оценка 5.9 по шкале CVSSv3) —позволяет загрузить произвольные файлы в компоненте SAP NetWeaver Log Viewer. При загрузке некорректно сформированного архива, содержащего файлы со специальными символами в названии, и его последующей распаковке, веб-приложение распознает символы «.» и «/» как часть корректного пути файла, что позволяет злоумышленникам эксплуатировать уязвимость обхода каталога и загружать файлы в произвольную локацию файловой системы сервера.

Последствия загрузки произвольных файлов могут повлечь за собой полную компрометацию системы, чрезмерную нагрузку на файловую систему или базу данных, распространение атаки на серверные системы и подмену данных (defacement). Степень воздействия данной уязвимости высока, так как произвольный код может быть выполнен в контексте сервера. Действия, позволяющие устранить этот недостаток, описаны в уведомлении о безопасности SAP под номером 2370876.

Для обнаружения уязвимостей в продуктах SAP, а также инвентаризации этих систем, контроля обновлений, анализа настроек, конфигураций и прав доступа Positive Technologies предлагает систему контроля уязвимостей и соответствия стандартам MaxPatrol, которая успешно прошла сертификационные испытания SAP и получила статус SAP Certified Integration with SAP NetWeaver.

Другой продукт компании, межсетевой экран прикладного уровня PT Application Firewall, с помощью специальных профилей безопасности выявляет атаки (в том числе — нулевого дня) в продуктах SAP NetWeaver, SAP ICM, SAP Management Console и SAP SOAP RFC.

Кроме того, анализатор защищенности исходного кода приложений PT Application Inspector поддерживает анализ приложений на языке JAVA для платформы SAP NetWeaver JAVA, а в MaxPatrol SIEM системы SAP на базе платформ SAP NetWeaver ABAP/JAVA входят в набор готовых коннекторов, поставляемых в качестве источников данных «из коробки».

Пресс-служба компании SAP сообщила о том, что упомянутые уязвимости уже устранены.

Дмитрий Костров, директор по информационной безопасности в SAP СНГ, заявил: «Все перечисленные уязвимости были закрыты в рамках Security Patch Day в январе 2017 года. Спасибо коллегам за проделанную работу. Она еще раз напоминает владельцам систем о необходимости своевременно обновлять версии программных продуктов, отслеживать публикацию SAP Note по безопасности и устанавливать патчи, описанные в них».