Positive Technologies выявила множественные уязвимости в продуктах SAP

Positive Technologies выявила множественные уязвимости в продуктах SAP

Positive Technologies выявила множественные уязвимости в продуктах SAP

Уязвимости в компонентах SAP позволяют получить доступ к базам данных ERP-системы, остановить работу ее сервера, повысить привилегии до максимального уровня и осуществить другие атаки. Эти проблемы обнаружили эксперты Positive Technologies Юрий Алейнов, Егор Димитренко, Михаил Ключников, Роман Понеев, Михаил Степанкин и Александр Швецов.

Наибольшую опасность представляет уязвимость в среде разработки Web Dynpro Flash Island (оценка 7,5 по шкале CVSS). Этот компонент предназначен для создания веб-приложений в SAP. Отсутствие валидации XML дает возможность злоумышленнику без авторизации в системе SAP провести XXE-атаку и получить доступ к локальным файлам сервера, где располагается SAP (приватным ключам и другой важной информации). Также возможна атака на отказ в обслуживании, которая приведет к остановке сервера SAP.

«Продукты SAP используют более сотни тысяч компаний. Распространенность и многофункциональность системы приводит к тому, что эксплуатация даже весьма обыденных уязвимостей чревата серьезными последствиями, — отмечает руководитель отдела безопасности бизнес-систем Positive Technologies Дмитрий Гуцко. — Например, рядовая XSS-атака, при которой злоумышленник отправляет пользователю ссылку на вредоносный сценарий и ожидает его исполнения в браузере, грозит получением доступа к любым данным на странице пользователя системы — куки-файлам или токенам сессии. А при наличии привилегий на захваченной машине злоумышленник сможет изменить конфигурацию системы SAP от имени ее владельца — создать новых пользователей, выдать привилегии и роли, загрузить файлы или провести RCE-атаку (произвольное выполнение кода)».

«Компания SAP сотрудничает с экспертами по безопасности по всему миру, что позволяет на ранней стадии находить и устранять уязвимости в наших продуктах. Недостатки, выявленные специалистами Positive Technologies в некоторых продуктах SAP, были закрыты пакетами исправлений, выпущенными в феврале-апреле текущего года. Мы рекомендуем всем клиентам SAP следить за выходом SAP Notes по безопасности и своевременно устанавливать обновления, — сказал Дмитрий Костров, директор по информационной безопасности "SAP СНГ". — Positive Technologies — это многолетний партнер SAP, с которым мы плодотворно сотрудничаем для улучшения безопасности наших продуктов. В соответствии с нашими соглашениями подобные исследования об уязвимостях в продуктах SAP публикуются через определенное время после выхода исправлений для них».

Проблема отсутствия валидации XML коснулась также компонентов SAP Composite Application Framework Authorization Tool (оценка 4,9) и SAP NetWeaver Web Services Configuration UI (оценка 5,4), однако в этих случаях для реализации XXE-атаки злоумышленнику потребовалась бы авторизация. Атакующий может прочитать любые файлы на сервере: конфигурацию самого сервера SAP, системные файлы операционной системы сервера, а также исходный код приложения. Злоумышленник может выяснить учетные данные администратора системы и повысить привилегии пользователя. Кроме того, возможность посылать запросы от имени сервера в локальную сеть потенциально грозит получением нелегитимного доступа к ресурсам внутренней сети, например к базам данных.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Атаки с помощью дипфейков становятся массовыми

В России всё шире распространяется мошенническая схема, в которой злоумышленники используют сгенерированные нейросетями видео с изображением родственников или знакомых потенциальной жертвы. С помощью таких роликов аферисты обращаются за материальной помощью.

О росте числа подобных случаев говорится в материалах МВД, оказавшихся в распоряжении РИА Новости.

Для создания видео преступники применяют фотографии людей из ближайшего окружения жертвы — родственников, коллег, соседей. По данным МВД, современные технологии позволяют достаточно точно воспроизводить мимику и эмоции, что делает подделку убедительной.

Как правило, в таких роликах мошенники просят занять деньги, ссылаясь на сложные жизненные обстоятельства. Аналогичные видео рассылаются и другим людям, которые попали в поле зрения преступников.

«Что мошенники могут сделать с вашей фотографией? Например, оживить её... Если однажды ваш родственник или знакомый пришлёт видео с просьбой занять деньги, позвоните ему и уточните цель перевода. Вероятно, его аккаунт скомпрометирован», — предупреждают в МВД.

Весной этого года эксперты прогнозировали, что с атаками с применением дипфейков рискует столкнуться каждый второй россиянин. Однако массовое появление видеодипфейков с возможностью ведения разговора в реальном времени ожидается лишь в следующем году.

По состоянию на конец мая в интернете существовало около 50 тыс. сервисов для генерации дипфейков. Для создания подделки достаточно одной фотографии. Большинство ресурсов платные, однако стоимость подписки редко превышает 6 долларов в месяц.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru