Digital Security помогла SAP закрыть две опасные уязвимости в интеграционной шине SAP

Digital Security помогла SAP закрыть две опасные уязвимости

Компания SAP выпустила ежемесячный набор обновлений безопасности за июнь 2012 года. Данный набор обновлений закрывает множество уязвимостей в продуктах SAP. В данном обновлении две уязвимости были исправлены при содействии сотрудников исследовательской лаборатории Digital Security – Александра Полякова, Дмитрия Частухина, Алексея Тюрина и Александра Миноженко. На данный момент уязвимости успешно закрыты компанией SAP.

Уязвимости затронули две популярных платформы для интеграции бизнес-систем предприятия, а именно SAP Portal и SAP PI (Process Integration), которые обычно используются для интеграции бизнес-приложений. Так, основная цель использования SAP NetWeaver PI – обеспечить необходимое качественное взаимодействие различных информационных систем в неоднородном ландшафте: как приложений SAP, так и систем сторонних производителей, как внутри компании, так и при взаимодействии с партнерами и контрагентами. Такие системы, как Portal и PI, зачастую доступны для интернет-пользователей или находятся на границе корпоративной сети с защищённым сегментом, что несёт дополнительную опасность.

Обе обнаруженные уязвимости позволяют получить доступ к критичной для бизнеса информации, хранящейся в операционной системе, где установлены приложения. В случае с SAP Portal для эксплуатации уязвимости необходима пользовательская учётная запись в системе. В случае же с SAP PI уязвимость эксплуатируется анонимно и позволяет получить доступ к критичным данным, а также совершать атаки на системы, интегрированные с SAP PI.

Детали исправленных уязвимостей:

  • Уязвимость неавторизованного доступа к ОС и интегрированным приложениям в SAP PI Обновление доступно в SAP Note 1707494. Критичность по CVSS – 8.5 (AV:N/AC:L/AU:N/C:P/I:N/A:C)
  • Уязвимость неавторизованного чтения файлов в SAP Portal. Обновление доступно в SAP Note 1705800. Критичность по CVSS – 4.9 (AV:N/AC:H/AU:S/C:C/I:N/A:N)

Компания SAP традиционно объявила благодарность исследователям из Digital Security за обнаруженные уязвимости и помощь в их закрытии на своём портале.

Windows научится сама откатывать проблемные драйверы

Microsoft готовит новую функцию восстановления Windows под названием Cloud-Initiated Driver Recovery. Она должна автоматически откатывать проблемные драйверы, установленные через Windows Update. Идея простая: если после обновления драйвера компьютер начинает сбоить, уходить в BSOD, зависать или вообще перестаёт нормально загружаться, Windows попытается исправить ситуацию самостоятельно.

Проблемные драйверы уже много лет остаются одной из главных причин нестабильности Windows. Неудачное обновление драйвера видеокарты, звука, чипсета или накопителя может легко привести к сбоям и проблемам с загрузкой системы.

Сейчас пользователям в таких случаях часто приходится вручную откатывать драйверы, загружаться в безопасном режиме или использовать фирменные утилиты производителей. Новый механизм Microsoft хочет сделать этот процесс автоматическим.

Работать система будет через уже существующую инфраструктуру Windows Update. Если Microsoft обнаружит, что какой-то драйвер вызывает массовые проблемы, компания сможет отправить затронутым устройствам специальный запрос на восстановление.

После этого Windows автоматически удалит проблемный драйвер и установит предыдущую рабочую версию или другой совместимый драйвер, уже проверенный и доступный через Windows Update.

При этом Microsoft подчёркивает: отдельные утилиты восстановления, OEM-инструменты или новые компоненты системы для этого не понадобятся.

Есть и ограничение. Автоматический откат сработает только в том случае, если для устройства уже существует одобренный резервный драйвер в базе Windows Update. Если подходящей замены нет, пользователю всё равно придётся решать проблему вручную или ждать исправления от производителя.

Тем не менее новая функция может заметно сократить время простоя во время массовых проблем с драйверами.

Тестирование Cloud-Initiated Driver Recovery Microsoft планирует начать в период с мая по август 2026 года. Полноценный запуск автоматического механизма сейчас намечен на сентябрь 2026-го.

Функция стала частью более широкой работы Microsoft над стабильностью и отзывчивостью Windows. Компания также продолжает оптимизировать производительность Windows 11 и интерфейсов на базе WinUI 3.

RSS: Новости на портале Anti-Malware.ru