Эксперты Positive Technologies обнаружили уязвимости в решениях SAP

Эксперты Positive Technologies обнаружили уязвимости в решениях SAP

Эксперты Positive Technologies обнаружили уязвимости в решениях SAP

Уязвимости были выявлены в программных компонентах SAPEnterprisePortalNavigation, SAPNetWeaverLogViewerи SAPEnterprisePortalThemeEditor, входящих в состав платформы SAP NetWeaver.

Недостатки безопасности позволяют атакующим перехватывать учетные данные для входа, регистрировать нажатия клавиш, подменять данные и выполнять другие нелегитимные действия, вплоть до полной компрометации системы.   

В исследовании принимали участие специалисты Positive Technologies Юрий Алейнов, Егор Димитренко, Роман Понеев и Михаил Ключников. Четыре уязвимости межсайтового выполнения сценариев (Cross-SiteScripting, XSS) обнаружены в компонентах корпоративного веб-портала SAPEnterprisePortalSAPEnterprisePortalNavigation (оценка 6.1 по шкале CVSSv3) и SAPEnterprisePortalThemeEditor (три бреши с оценками 5.4, 6.1 и 6.1 по шкале CVSSv3).

Эксплуатируя данные уязвимости, злоумышленник может получить доступ к токенам сессии жертвы, учетным данным для входа и другой конфиденциальной информации в браузере, выполнить различные действия от имени пользователя, изменить содержимое HTML-страницы, перехватить нажатия клавиш. Рекомендации по устранению этих недостатков описаны в уведомлениях о безопасности (SAPSecuritynote) под номерами 2369469, 2372183, 2372204 и 2377626.

«Крупнейшие компании мира используют SAP для управления финансовыми потоками, жизненным циклом продуктов, взаимоотношением с поставщиками и клиентами, ресурсами предприятий, поставками и другими критически важными бизнес-процессами. Поэтому защищенность хранящейся в системах SAP информации играет огромное значение, а нарушение конфиденциальности таких данных может привести к катастрофическим последствиям для бизнеса», — отмечает руководитель отдела безопасности бизнес-систем Positive Technologies Дмитрий Гуцко.

Еще одна уязвимость — обход каталога (Directory Traversal, оценка 5.9 по шкале CVSSv3) —позволяет загрузить произвольные файлы в компоненте SAP NetWeaver Log Viewer. При загрузке некорректно сформированного архива, содержащего файлы со специальными символами в названии, и его последующей распаковке, веб-приложение распознает символы «.» и «/» как часть корректного пути файла, что позволяет злоумышленникам эксплуатировать уязвимость обхода каталога и загружать файлы в произвольную локацию файловой системы сервера.

Последствия загрузки произвольных файлов могут повлечь за собой полную компрометацию системы, чрезмерную нагрузку на файловую систему или базу данных, распространение атаки на серверные системы и подмену данных (defacement). Степень воздействия данной уязвимости высока, так как произвольный код может быть выполнен в контексте сервера. Действия, позволяющие устранить этот недостаток, описаны в уведомлении о безопасности SAP под номером 2370876. 

Комментарии:

Сегодня компания Positive Technologies распространила новость об уязвимостях, обнаруженных в некоторых продуктах SAP. Пресс-служба компании SAP сообщает о том, что упомянутые уязвимости уже устранены. 

Комментарий Дмитрия Кострова, директора по информационной безопасности в SAP СНГ, по поводу пресс-релиза компании Positive Technologies: 

"Все перечисленные уязвимости были закрыты в рамках Security Patch Day в январе 2017 года. Спасибо коллегам за проделанную работу. Она еще раз напоминает владельцам систем о необходимости своевременно обновлять версии программных продуктов, отслеживать публикацию SAP Note по безопасности и устанавливать патчи, описанные в них." 

SAPEnterprisePortalNavigation, SAPNetWeaverLogViewerи SAPEnterprisePortalThemeEditor, входящих в состав платформы SAP NetWeaver. " />

Подарочная карта Apple обернулась блокировкой аккаунта на годы работы

Известный разработчик и автор технических книг, посвящённых Apple, Пэрис Баттфилд-Эддисон неожиданно оказался заблокирован в собственном Apple-аккаунте. Это произошло после попытки активировать подарочную карту Apple на $500, которую он купил у крупного и вполне легального ретейлера и собирался использовать для оплаты подписки iCloud+ с хранилищем на 6 ТБ.

Вместо этого — полный цифровой стоп. По словам Баттфилд-Эддисона, он лишился доступа ко всей своей личной и рабочей экосистеме Apple без объяснений и понятного механизма восстановления.

Ситуация выглядит особенно болезненно на фоне его почти 30-летних отношений с компанией: он писал книги по Objective-C и Swift, организовывал конференции и потратил на продукты и сервисы Apple десятки тысяч долларов.

История быстро разошлась по профильным медиа — от AppleInsider до The Register. Казалось бы, при таком внимании проблема должна была решиться оперативно. Представитель Apple действительно связался с разработчиком 14 декабря и пообещал перезвонить на следующий день. Но с тех пор прошло уже несколько дней — и тишина.

Судя по опубликованным деталям, Баттфилд-Эддисон не нарушал правил. Скорее всего, он столкнулся с типичной проблемой: подарочная карта могла быть скомпрометирована ещё до покупки. Apple сама признаёт, что Gift Card часто используются в мошеннических схемах, и рекомендует в таких случаях обращаться в поддержку. Именно это он и сделал — безрезультатно.

Сам кейс вызвал тревогу в сообществе. Если подобное может произойти с известным разработчиком, у которого есть медийная поддержка и контакты внутри Apple, то что говорить об обычных пользователях, у которых нет ни публичности, ни рычагов давления? Автоматические антифрод-системы есть у всех крупных техкомпаний — Apple, Google, Amazon — и они регулярно ошибаются, оставляя людей без доступа к критически важным аккаунтам.

На фоне этой истории в сообществе всё громче звучит простой совет: по возможности избегать Apple Gift Card. Даже если большая часть карт безопасна, риск нарваться на «токсичный» код слишком высок. Подарок может обернуться цифровой катастрофой — как для вас, так и для того, кому вы его вручили.

Чем закончится история Баттфилд-Эддисона, пока неизвестно.

RSS: Новости на портале Anti-Malware.ru