Компанія SAP усунула чотири критичні вразливості у своєму програмному забезпеченні

Компанія SAP оприлюднила листопадове оновлення безпеки, що містить виправлення 35 вразливостей. До переліку увійшли чотири критичні недоліки з оцінкою 10/10 за шкалою CVSS, які стосуються програмних продуктів NetWeaver, Web Dispatcher та Gateway. Вразливості дозволяють неавторизованим зловмисникам здійснювати віддалений запуск коду та повну компрометацію цільових систем.

Про це повідомляє BleepingComputer

Кібербезпекова фірма Onapsis, що ідентифікувала частину проблем, класифікувала ці загрози під назвами ICM2SHELL та PROXYGATE. Експерти наголошують на високій небезпеці цих шляхів доступу для корпоративних систем.

ICM2SHELL перетворює звичайну частину вебтрафіку на точку входу для зловмисників. Результатом є віддалене виконання коду проти компонента, що за проєктом спрямований на мережу: без користувача SAP, без пароля та без взаємодії з користувачем.

— Onapsis

PROXYGATE працює, переконуючи SAP Gateway, що неавторизований зовнішній зловмисник є одним із внутрішніх серверів додатків. Немає користувача SAP, пароля чи взаємодії з користувачем, проте досягається повний контроль над системою SAP.

— Onapsis

За останні місяці SAP неодноразово випускала патчі для критичних вразливостей у своїх продуктах, зокрема в Commerce Cloud, ядрі SAP Kernel та додатках BTP. За даними Агентства з кібербезпеки та захисту інфраструктури США, з листопада 2021 року було зафіксовано 14 вразливостей у ПЗ SAP, які використовувалися зловмисниками. Компанія SAP, німецький розробник програмного забезпечення, обслуговує значну частину найбільших світових корпорацій, що робить захист її інфраструктури пріоритетним завданням для фахівців з кібербезпеки.