Критический баг в софте SAP позволяет захватить корпоративные серверы

Критический баг в софте SAP позволяет захватить корпоративные серверы

Критический баг в софте SAP позволяет захватить корпоративные серверы

Разработчики SAP устранили критическую уязвимость в компоненте LM Configuration Wizard Java-платформы NetWeaver Application Server (AS). С помощью этого бага не прошедшие аутентификацию злоумышленники могли получить контроль над приложениями SAP.

Уязвимость получила идентификатор CVE-2020-6287 и имя «RECON». По шкале CVSS ей присвоили максимальные 10 баллов опасности.

По данным компании Onapsis, первой сообщившей о проблеме безопасности, брешь угрожает более 40 тыс. клиентов SAP.

В случае успешной эксплуатации не прошедший аутентификацию злоумышленник сможет получить ничем не ограниченный доступ к системам SAP. В частности, атакующему удастся создать пользователя с высокими правами и выполнить произвольные команды.

«Целостность, конфиденциальность и доступность данных и процессов, обрабатываемых приложениями SAP, находятся в опасности», — пишет в своём уведомлении CISA.

Уязвимость затрагивает SAP NetWeaver AS Java 7.3 и более новые версии платформы, на базе которой по умолчанию работают приложения компании. По словам экспертов Onapsis, RECON существует благодаря отсутствию аутентификации в веб-компоненте SAP NetWeaver AS. Именно поэтому потенциальный атакующий может выполнять действия с высокими правами.

Подпишитесь на новости

Госуслуги обновят приложение в 2027-м: меньше заявлений, больше автоматики

Минцифры готовит новое мобильное приложение «Госуслуг» к запуску в 2027 году. Параллельно ведомство намерено развивать проактивные услуги — сценарии, в которых человеку не нужно самостоятельно начинать оформление запросом.

Как пишет ТАСС, планы представил министр цифрового развития Максут Шадаев.

На инфраструктуру портала в 2027 году предполагается направить 15,3 млрд рублей — столько же, сколько предусмотрено на 2026-й. Согласно презентации министра, в 2028 году сумма должна вырасти до 18,7 млрд, а в 2029-м — до 23 млрд рублей.

Шадаев также сообщил о постоянном рефакторинге: разработчики перерабатывают код и внутренние компоненты системы. Заявленная цель — улучшить существующие сервисы и сократить время оказания услуг.

Конкретные изменения интерфейса, перечень новых функций и точную дату выхода приложения в сообщении не раскрыли.

Самая интересная часть планов — уменьшение количества действий со стороны пользователя. Если государство уже располагает нужными сведениями, перспектива не собирать их заново ради очередного заявления выглядит куда привлекательнее. Осталось увидеть, какие услуги действительно станут такими.

RSS: Новости на портале Anti-Malware.ru