Эксперты Positive Technologies обнаружили уязвимости в решениях SAP

Эксперты Positive Technologies обнаружили уязвимости в решениях SAP

Эксперты Positive Technologies обнаружили уязвимости в решениях SAP

Уязвимости были выявлены в программных компонентах SAPEnterprisePortalNavigation, SAPNetWeaverLogViewerи SAPEnterprisePortalThemeEditor, входящих в состав платформы SAP NetWeaver.

Недостатки безопасности позволяют атакующим перехватывать учетные данные для входа, регистрировать нажатия клавиш, подменять данные и выполнять другие нелегитимные действия, вплоть до полной компрометации системы.   

В исследовании принимали участие специалисты Positive Technologies Юрий Алейнов, Егор Димитренко, Роман Понеев и Михаил Ключников. Четыре уязвимости межсайтового выполнения сценариев (Cross-SiteScripting, XSS) обнаружены в компонентах корпоративного веб-портала SAPEnterprisePortalSAPEnterprisePortalNavigation (оценка 6.1 по шкале CVSSv3) и SAPEnterprisePortalThemeEditor (три бреши с оценками 5.4, 6.1 и 6.1 по шкале CVSSv3).

Эксплуатируя данные уязвимости, злоумышленник может получить доступ к токенам сессии жертвы, учетным данным для входа и другой конфиденциальной информации в браузере, выполнить различные действия от имени пользователя, изменить содержимое HTML-страницы, перехватить нажатия клавиш. Рекомендации по устранению этих недостатков описаны в уведомлениях о безопасности (SAPSecuritynote) под номерами 2369469, 2372183, 2372204 и 2377626.

«Крупнейшие компании мира используют SAP для управления финансовыми потоками, жизненным циклом продуктов, взаимоотношением с поставщиками и клиентами, ресурсами предприятий, поставками и другими критически важными бизнес-процессами. Поэтому защищенность хранящейся в системах SAP информации играет огромное значение, а нарушение конфиденциальности таких данных может привести к катастрофическим последствиям для бизнеса», — отмечает руководитель отдела безопасности бизнес-систем Positive Technologies Дмитрий Гуцко.

Еще одна уязвимость — обход каталога (Directory Traversal, оценка 5.9 по шкале CVSSv3) —позволяет загрузить произвольные файлы в компоненте SAP NetWeaver Log Viewer. При загрузке некорректно сформированного архива, содержащего файлы со специальными символами в названии, и его последующей распаковке, веб-приложение распознает символы «.» и «/» как часть корректного пути файла, что позволяет злоумышленникам эксплуатировать уязвимость обхода каталога и загружать файлы в произвольную локацию файловой системы сервера.

Последствия загрузки произвольных файлов могут повлечь за собой полную компрометацию системы, чрезмерную нагрузку на файловую систему или базу данных, распространение атаки на серверные системы и подмену данных (defacement). Степень воздействия данной уязвимости высока, так как произвольный код может быть выполнен в контексте сервера. Действия, позволяющие устранить этот недостаток, описаны в уведомлении о безопасности SAP под номером 2370876. 

Комментарии:

Сегодня компания Positive Technologies распространила новость об уязвимостях, обнаруженных в некоторых продуктах SAP. Пресс-служба компании SAP сообщает о том, что упомянутые уязвимости уже устранены. 

Комментарий Дмитрия Кострова, директора по информационной безопасности в SAP СНГ, по поводу пресс-релиза компании Positive Technologies: 

"Все перечисленные уязвимости были закрыты в рамках Security Patch Day в январе 2017 года. Спасибо коллегам за проделанную работу. Она еще раз напоминает владельцам систем о необходимости своевременно обновлять версии программных продуктов, отслеживать публикацию SAP Note по безопасности и устанавливать патчи, описанные в них." 

SAPEnterprisePortalNavigation, SAPNetWeaverLogViewerи SAPEnterprisePortalThemeEditor, входящих в состав платформы SAP NetWeaver. " />

Xiaomi навяжет криптокошелёк пользователям своих смартфонов

Xiaomi без лишнего шума подписала соглашение о предустановке новых приложений на свои смартфоны. Начиная с 2026 года компания будет выпускать устройства с криптокошельком и приложением от Sei Labs. Формально — это «глобальное партнёрство по продвижению блокчейна», по факту — ещё один нежелательный софт (bloatware) на новых смартфонах.

Приложение связано с Sei — блокчейном первого уровня, заточенным под торговлю цифровыми активами.

Оно будет предустанавливаться на все новые смартфоны Xiaomi, продаваемые за пределами материкового Китая и США. А это огромный объём: Xiaomi занимает третье место на мировом рынке смартфонов после Apple и Samsung, контролируя более 13% рынка — около 160 млн устройств в год.

Само приложение позиционируется как криптокошелёк и «входная точка» в Web3. По задумке Sei, пользователи смогут отправлять переводы, работать с децентрализованными приложениями и пользоваться другими блокчейн-сервисами без установки дополнительного софта.

На этом планы не заканчиваются. Sei Labs хочет расширить сотрудничество и на розничную инфраструктуру Xiaomi. Компания рассчитывает запустить приём стейблкоинов в более чем 20 тысячах фирменных магазинов — сначала в Гонконге и ряде стран ЕС. В перспективе покупатели смогут расплачиваться за устройства Xiaomi, например, в USDC, а транзакции будут проходить через блокчейн Sei.

В официальном комментарии для CoinDesk Sei заявила, что партнёрство откроет криптовалюты для миллионов людей, особенно в регионах, где Xiaomi доминирует. Например, в Греции компания занимает почти 37% рынка смартфонов, а в Индии — около 24%.

Но если посмотреть на ситуацию глазами обычного пользователя, всё выглядит куда менее вдохновляюще. Для большинства это просто ещё одно предустановленное приложение, которое никто не просил.

Блоатвар давно остаётся болезненной темой для владельцев смартфонов Xiaomi. Несколько лет назад ситуация была особенно тяжёлой: устройства поставлялись с массой лишних приложений, которыми юзеры никогда не пользовались. Со временем компания стала действовать осторожнее и прозрачнее, но новая инициатива с криптокошельком выглядит шагом назад.

Предустанавливать криптоприложения, о которых пользователь может даже не знать и которыми не собирается пользоваться, — решение, мягко говоря, спорное. Особенно на фоне того, что далеко не все готовы видеть Web3 и блокчейн прямо «из коробки» на своём смартфоне.

RSS: Новости на портале Anti-Malware.ru