Americký CERT varuje před dávno známou chybou v systémech SAP

Pavel Houser , 16. květen 2016 16:30 0 komentářů

Computer Emergency Response Team USA oficiálně oznámil, že 36 velkých, převážně mezinárodně působících firem provozuje zranitelné systémy SAP.

Příslušné opravy byly vydány už v roce 2010 a týkají se komponenty Invoker Servlet, součásti javové platformy SAPu, respektive prostředí SAP NetWeaver (servlet je obecně program v Javě spouštěný na straně serveru). Chyba může ovlivňovat celou řadu produktů SAP.

Mnohé podniky raději vůbec nechtějí zasahovat do svých kritických produkčních prostředí a nenasazují aktualizace z obav před narušením funkčnosti systémů, tím se však na druhé straně vystavují bezpečnostním rizikům. Přitom v tomto případě není ani nutné instalovat opravu, stačí Invoker Servlet vypnout. I to může ovlivnit funkčnost a vyžadovat dodatečnou konfiguraci dalších služeb; náprava není tedy triviální, což liknavost správců ale samozřejmě omlouvá jen do určité míry, přece jen na to měli 6 let. Bez opravy jde o kritický problém, protože útočník může získat plný vzdálený přístup k aplikaci bez nutnosti jakékoliv autorizace, získat kontrolu nad prostředím (včetně přístupu do dalších systémů) a např. si stáhnout veškerá data.

Celou kauzu spustila společnost Onapsis, když upozornila, že o příslušné zranitelnosti se diskutuje již řadu let na čínských bezpečnostních fórech. Právě zde se také měl objevit výčet 36 zranitelných globálních společností. Alexander Poljakov, CTO firmy ERPScan, která se zaměřuje právě na zabezpečení a penetrační testování ERP systémů, však dodává, že ohrožených subjektů/implementací SAP je minimálně o řád více. Podle Poljakova však naopak není pravda, že oněch 36 subjektů bylo opravdu kompromitováno, protože diskutující z čínských fór zřejmě patří do kategorie „white hat“.

To však neznamená, že příslušné informace nemohl začít zneužívat i někdo jiný. ERPScan potvrzuje, že když použili takto zranitelné systémy SAP jako honeypoty, útoky na sebe nenechaly dlouho čekat. US-CERT doporučuje uživatelů systémů SAP, aby je pravidelně testovali proti známým zranitelnostem, chybějícím záplatám či rizikovým konfiguracím.


Komentáře

RSS 

Komentujeme

Jak probíhá adopce cloudu

Pavel Houser , 16. únor 2018 09:45
Pavel Houser

Cloud už neznamená jen SaaS, jenže… K dispozici je řada analýz i prognóz, které dokládají, jak se po...

Více








RSS 

Zprávičky

Pokles prodeje smartphonů potvrzuje i Gartner

ČTK , 24. únor 2018 12:04

Meziroční nárůst čtvrtletního prodeje zaznamenaly v rámci první pětky pouze Huawei a Xiaomi....

Více 0 komentářů

Broadcom snížil nabídku na rivala Qualcomm na 117 miliard dolarů

ČTK , 23. únor 2018 10:00

Převzetí Qualcommu by bylo největší akvizicí v historii technologického sektoru....

Více 0 komentářů

T-Mobile měl úspěšný rok

Pavel Houser , 23. únor 2018 09:00

T-Mobile oznámil finanční výsledky za rok 2017. Celkové tržby z mobilních a pevných služeb včetně pr...

Více 0 komentářů

Starší zprávičky

NÚKIB loni řešil méně hlášení o kybernetických incidentech

ČTK , 23. únor 2018 08:00

Na podzim NÚKIB musel řešit i útok na weby, na kterých se zobrazovaly aktuální volební výsledky....

Více 0 komentářů

Hackeři zneužili cloudový systém Tesly k těžbě kryptoměn

ČTK , 22. únor 2018 10:00

Průnik se odehrál přes konzoli systému Kubernetes pro optimalizaci cloudových aplikací. ...

Více 0 komentářů

Dvakrát ze světa open source CRM: Sugar a SuiteCRM

Pavel Houser , 22. únor 2018 09:00

CRM systém Sugar je nabízen v několika edicích. Placené edice lze standardně provozovat formou služb...

Více 0 komentářů

Intel chce investovat 5 miliard dolarů do izraelské továrny

ČTK , 22. únor 2018 08:00

Předpokládá se, že Intel na rozšíření továrny obdrží státní podporu v hodnotě až 10 % investice....

Více 0 komentářů