Критическая уязвимость SAP допускает атаки на цепочки поставок (патч готов)

Критическая уязвимость SAP допускает атаки на цепочки поставок (патч готов)

Критическая уязвимость SAP допускает атаки на цепочки поставок (патч готов)

Специалисты компании SecurityBridge предупредили о критической уязвимости в SAP NetWeaver AS ABAP и ABAP Platform, которую злоумышленники могут использовать для запуска атак на цепочки поставок. К счастью, разработчики уже устранили брешь.

Проблеме присвоили идентификатор CVE-2021-38178 и 9,1 балла по шкале CVSS. Разработчики уже выпустили соответствующий набор патчей, которые необходимо установить для устранения дыры.

Специалисты считают корнем уязвимости некорректную авторизацию, позволяющую атакующим вмешиваться в транспортные запросы. Как выяснили в SecurityBridge, стандартные развёртывания SAP включают программу, позволяющую сотрудникам с определённым уровнем авторизации менять атрибуты заголовка а транспортных запросах SAP.

Именно поэтому киберпреступник или инсайдер с соответствующими правами могут изменить статус запросов с «Released» на «Modifiable». Более того, злоумышленник может добавить пейлоад на запуск после импорта в целевую систему, что открывает возможность для атак на цепочки поставок.

«Атакующие могут внедрить вредоносный код в процессе разработки SAP», — объяснили эксперты SecurityBridge.

CVE-2021-38178 затрагивает все среды SAP, в которых одна транспортная директория используется на различных уровнях. Организациям рекомендуют установить вышедшие патчи и проверять транспортные запросы перед импортом в продакшн.

Подпишитесь на новости

Акции VK выросли на 7,62%: рынок оценивал ситуацию вокруг дата-центров

Пока облачные провайдеры решают инфраструктурные проблемы, биржа считает возможные последствия для бизнеса. Акции VK 12 октября на пике подорожали на 7,62%, до 134,2 рубля относительно закрытия пятницы.

Как сообщает «РБК Инвестиции», к 20:45 мск рост замедлился до 6,6%, а цена составила 132,95 рубля.

Аналитики предлагают несколько объяснений. В Freedom Global связывают динамику в том числе с заявлением Минцифры о совместной с Минобороны разработке мер защиты российских ЦОД.

В «Финаме» допускают, что инвесторы учитывали проблемы Яндекса и потенциальный переход части клиентов к конкурентам. VK Cloud уже участвует в ускоренном размещении инфраструктуры пострадавших заказчиков Yandex Cloud.

Но сводить биржевой скачок к одной новости было бы слишком удобно. Аналитик «Финама» Дмитрий Лозовой также указал на ротацию капитала: после роста нефтегазового сектора инвесторы переключаются на отстававшие бумаги, к которым он относит VK.

Подтвержденный факт — рост котировок. Его причины остаются оценками аналитиков, а возможный переход клиентов еще не равен заработанной выручке.

RSS: Новости на портале Anti-Malware.ru