Уязвимость POS-терминалов SAP позволяет менять цены на продукты

Уязвимость POS-терминалов SAP позволяет менять цены на продукты

Уязвимость POS-терминалов SAP позволяет менять цены на продукты

Уязвимость в сервере SAP PSXpress была обнаружена исследователями из ERPScan. Эта брешь может позволить злоумышленнику управлять сервером и менять файлы конфигурации POS-терминалов SAP, благодаря этому хакер может собирать данные платежных карт, изменять цены и отправлять эти данные на свой сервер.

POS-терминалы SAP розничные торговцы используют для онлайн-продажи продуктов, устанавливая их в магазинах. Через POS-терминал клиент подключается к серверу, получает все подробности о цене продукта и способах оплаты, а затем передает информацию платежной карты соответствующему банку.

Информация о вышеупомянутой уязвимости была передана ERPScan в SAP в апреле 2017 года, ее удалось устранить, о чем свидетельствуют SAP Security Note 2476601 и SAP Security Note 2520064.

По мнению исследователей безопасности, серверы SAP не выполняют никакой аутентификации, когда поступает запрос, это означает, что каждый может менять файлы конфигурации, которые отвечают за регулирование цен и способы оплаты. Злоумышленник может установить снифферы для сбора платежных данных и информации о картах. Если POS-сервер подключен к интернету, атака может быть легко выполнена из удаленного места. Если доступа к сети нет, злоумышленник должен физически присутствовать в магазине, где установлен терминал, тогда он сможет подключить специальное устройство, которое запустит вредоносный код. Такое устройство Rasberry Pi стоит около 25 долларов США.

Также эксперты считают, что найти открытые порты довольно просто - по мере запуска вредоносного кода на сервер загружается файл конфигурации с измененной ценой, сервер POS перезагружается, на осуществление этой атаки обычно требуется всего секунда.

Уязвимость может стать причиной серьезных финансовых потерь. Для демонстрации наличия уязвимости исследователи изменили цену дорогого MacBook Pro на 1 доллар. Это грубый пример, который позволит быстро вычислить наличие вредоносной программы, скорее всего, хакеры будут снижать цены более продумано - на 20% или 50%, чтобы избежать подозрения.

Эксперты настоятельно рекомендуют установить патчи SAP, чтобы избежать серьезных проблем с безопасностью.

Подпишитесь на новости

Подросток месяцами обсуждал суицид с ИИ Google, школьная защита запоздала

Школьный ноутбук, ИИ в поисковике и система мониторинга — внушительный набор технологий, который всё равно не обеспечил своевременную помощь ребёнку. Родители 13-летней девочки из Северной Каролины подали иск против Google и Alphabet. Они утверждают, что общение с ИИ через школьный Chromebook способствовало развитию у дочери суицидального кризиса.

Как рассказывает WIRED, девочка месяцами обсуждала с ИИ депрессию и самоубийство.

Школьная система мониторинга неделями не поднимала тревогу. Когда уведомление наконец появилось, оно попало бывшему школьному консультанту, который переслал его действующим сотрудникам. После этого вмешалась мать.

По данным Reuters, родители узнали о происходящем после того, как защитное ПО пометило документ с планами похорон. В иске также утверждается, что бот помогал девочке скрывать своё состояние от близких.

По мнению родителей, Google встроила ИИ в привычные продукты, не предупредив школы и семьи о рисках.

Google заявила, что изучает иск. Корпорация добра подчёркивает, что работала с медицинскими специалистами и экспертами над защитными функциями, которые должны направлять молодых пользователей к реальной помощи.

RSS: Новости на портале Anti-Malware.ru