SAP NetWeaver komponentida xavfli zaifliklar aniqlandi

SAP NetWeaver komponentida xavfli zaifliklar aniqlandi

Zaifliklar ma’lumotlarning oshkor bo’lishiga, imtiyozlarning kuchayishiga va SAP CRM tizimining to’liq buzilishiga olib kelishi mumkin.

ERPScan xavfsizlik tadqiqotchilari SAP NetWeaver Application Server Java’dagi ikkita xavfli zaiflik haqida xabar berishdi, ular birlashtirilganda mijozlar bilan munosabatlarni boshqarish (CRM) tizimlariga zarar yetkazish uchun ishlatilishi mumkin.

Katalogni aylanib o’tish zaifligi va jurnalni kiritish zaifligi birgalikda ishlatilganda, ma’lumotlarning oshkor bo’lishiga, imtiyozlarning oshishiga va SAP CRM tizimining to’liq buzilishiga olib keladi. Endi ikkala zaiflik ham tuzatildi.

Tadqiqotchilarning fikriga ko’ra, hozirda ushbu muammolarga moyil bo’lgan 500 dan ortiq SAP CRM tizimlari onlayn rejimida mavjud. Zaifliklar CVSS v3 ballini 6,3 va 7,7 ga oldi.

Hujumchi tizim konfiguratsiya faylidan shifrlangan administrator hisob ma’lumotlarini o’qish, parolni ochish va SAP CRM portaliga kirish uchun katalogni aylanib o’tish zaifligidan foydalanishi mumkin. Keyin hujumchi SAP jurnal fayli yo’lini veb-ilovaning ildiz yo’liga o’zgartirish uchun boshqa katalogni aylanib o’tish zaifligidan foydalanishi mumkin. Maxsus tayyorlangan so’rov yordamida hujumchi jurnal fayliga zararli kodni kiritishi va unga uzoq veb-serverdan anonim ravishda kirishi mumkin.

Tadqiqotchilar zaifliklarni 2016-yil fevral oyida aniqladilar, ammo SAP dastlab muammolarni qayta tiklay olmadi. Keyin ular noto’g’ri ravishda allaqachon aniqlangan muammoning nusxalari sifatida tasniflandi, bu esa yamoqlarning chiqarilishini kechiktirdi.

SAP vakillarining so’zlariga ko’ra, kompaniya ikkala muammoni ham 2018-yil fevral oyida hal qilgan. Foydalanuvchilarga tegishli yangilanishlarni iloji boricha tezroq o’rnatish tavsiya etiladi.

SAP NetWeaver Application Server – bu SAP yechimlari uchun veb-ilova serveri bo’lib xizmat qiluvchi SAP NetWeaver komponenti. U ABAP va Java dastur serverlarini o’z ichiga oladi. Ikkala komponent ham birgalikda yoki alohida o’rnatilishi mumkin.