SAP устранила критические уязвимости в Business Intelligence и NetWeaver

SAP устранила критические уязвимости в Business Intelligence и NetWeaver

SAP устранила критические уязвимости в Business Intelligence и NetWeaver

Мартовский набор обновлений для продуктов SAP SE суммарно закрывает 19 уязвимостей. Пять проблем разработчик оценил как критические, админам рекомендуется установить соответствующие патчи в кратчайшие сроки.

Согласно сообщению SAP (PDF), прежде всего следует закрыть опасные дыры в компонентах платформы бизнес-аналитики BusinessObjects Business Intelligence (BI) и серверах веб-приложений NetWeaver AS.

В этих продуктах выявлены следующие критические уязвимости:

  • CVE-2023-25616 (9,9 балла CVSS) — возможность инъекции кода в веб-интерфейсе CMC платформы BI (версии 420 и 430) грозит несанкционированным доступом к ресурсам, требующим высоких привилегий;
  • CVE-2023-23857 (9,8 балла CVSS) — неадекватный контроль доступа к Java-стеку NetWeaver AS версии 7.50 (отсутствие аутентификации) позволяет читать и изменять конфиденциальную информацию, а также вызвать в системе состояние отказа в обслуживании (DoS);
  • CVE-2023-27269 (9,6 балла) — возможность выхода за пределы рабочего каталога в ABAP-стеке NetWeaver AS ряда версий позволяет перезаписать любой системный файл без прав администратора;
  • CVE-2023-27500 (9,6 балла) — обход каталога в программе SAPRSBRO грозит порчей важных системных файлов на сервере NetWeaver AS ABAP;
  • CVE-2023-25617 (9,0 балла) — возможность удаленного выполнения произвольных команд в Unix, выявленная в Adaptive Job Server платформы BI (версии 420 и 430): эксплойт возможен при активном исполнении объектов программ, требует аутентификации и наличия прав планирования.

Производитель систем управления ресурсами предприятий также пропатчил четыре уязвимости высокой степени опасности и десять умеренно опасных, в том числе в NetWeaver AS.

Ошибки разработчиков SAP, составляющие угрозу безопасности, всегда вызывают интерес у злоумышленников: продукты вендора обычно установлены в крупных организациях, и их можно использовать как точку входа в системы, представляющие большую ценность. В прошлом году SAP SE ушла с российского рынка, и теперь ее решения, видимо, будут заменяться отечественными аналогами.

Автоугонщики с высокотехнологичными устройствами получили до 9 лет

Октябрьский районный суд Иваново вынес приговор трём местным жителям, которых обвиняли в серии краж дорогостоящих автомобилей. В своей деятельности они активно использовали высокотехнологичные устройства для обхода противоугонной защиты. Участники группы получили от 6 до 9 лет лишения свободы.

О завершении судебного процесса над группой автоворов сообщила официальный представитель МВД России Ирина Волк. Преступную деятельность троица вела в течение 2024 года. Выявлено не менее пяти эпизодов.

Злоумышленники специализировались на кражах автомобилей южнокорейского производства. Чаще всего они выбирали машины, оставленные владельцами во дворах. Участники группы использовали продвинутые устройства, которые позволяли открывать двери, блокировать сигнализацию и дистанционно запускать двигатель. Кроме того, автоворы научились блокировать и демонтировать системы мониторинга, предназначенные для отслеживания местоположения автомобиля.

По фактам угонов были возбуждены пять уголовных дел по ч. 4 статьи 158 УК РФ (кража в особо крупном размере). Позднее их объединили в одно производство.

Подозреваемых задержали в ходе оперативно-розыскных мероприятий. При обысках были обнаружены деньги, автомобильные запчасти и устройства, которые злоумышленники использовали для угонов. Также был изъят один из похищенных автомобилей. Остальные машины участники группы успели продать в одном из сопредельных государств.

Октябрьский районный суд Иваново признал злоумышленников виновными и назначил им наказание в виде лишения свободы на срок от 6 до 9 лет. Приговор пока не вступил в законную силу.

RSS: Новости на портале Anti-Malware.ru