横扫全球13年:所有SAP部署均被这个BUG影响!

近日,一家专门从事SAP和Oracle应用安全保护的公司Onapsis称,大多数SAP部署仍然一个受到最初记录在2005年的安全配置缺陷的影响:在10个SAP系统中,就有9个被发现易受该漏洞的攻击。尽管发布了旨在解决问题的多个安全注意事项,被忽视的安全配置和安全系统早期的无意配置漂移使SAP很容易受到攻击。

据悉,该安全漏洞影响SAP Netweaver,未经身份验证的攻击者能够远程利用并通过网络访问系统,进而获得对系统的无限制访问权限。甚至危及到平台及其上的所有信息,从而提取数据或关闭系统。

Onapsis称,该漏洞能影响所有SAP Netweaver版本:由于SAP Netweaver是所有SAP部署的基础,全球有378,000个客户受到影响,每个基于Netweaver的SAP产品的默认安全设置都存在该漏洞,即使是下一代数字商务套件S / 4HANA也是如此。不过,通过ACL(访问控制列表)的保护方案可确保SAP应用服务器在SAP消息服务器中的注册工作。使用内部端口39 (默认情况下为3900)执行注册,SAP在2010年的安全说明中解释该端口应该受到保护,并且只能由受信任的应用程序IP地址访问。

通过利用SAP系统上缺乏安全的消息服务器ACL配置,攻击者可以注册一个虚假的应用服务器,然后通过更复杂的攻击来滥用该应用服务器,从而实现全面的系统妥协。这就需要利用这种错误配置:使用ACL中的默认配置访问消息服务器内部端口,这意味着正确配置SAP Message Server ACL应该可以减轻与此攻击相关的风险。

组织建议实施持续的监督和合规检查,以确保相关配置不会影响系统的安全状况,并实施SAP网络安全计划,以帮助缩小团队之间的差距。“虽然今年很多关注将会转移到诸如IoT,Meltdown和Specter等新的漏洞,但潜伏在幕后的潜在威胁可能如此严重,当然也同样广泛。许多SAP环境如此相互关联而且复杂,以至于使系统脱机以实施安全配置可能会对组织造成很大的干扰,组织必须确保他们花时间实施配置。

  • 发表于:
  • 原文链接http://kuaibao.qq.com/s/20180427A0TIAN00?refer=cp_1026
  • 腾讯「云+社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。
  • 如有侵权,请联系 yunjia_community@tencent.com 删除。

扫码关注云+社区

领取腾讯云代金券