Sicherheitsforscher haben gerade vier Schwachstellen in der ERP-Plattform Sage X3 aufgedeckt (Unternehmensressourcenplanung). Einer der Fehler ist kritisch, mit einer Punktzahl von 10 von 10 auf der Skala CVSS-. Weiter, zwei davon könnten aneinander gekettet werden, Ermöglicht komplette Systemübernahmen und Auswirkungen auf die Lieferkette, sagten die Forscher.
Vier Schwachstellen in der Sage X3 ERP-Plattform
Laut Rapid7-Sicherheitsbericht, die Schwachstellen wurden von mehreren Forschern des Unternehmens identifiziert, einschließlich Jonathan Peterson, Aaron Herndon, Cale Schwarz, Ryan Villarreal, und Willian Vu. Die Probleme wurden Sage über den Prozess zur Offenlegung von Sicherheitslücken von Rapid7 gemeldet, und wurden in den letzten Versionen für "Sage X3 Version" schnell behoben 9 (die Komponenten, die mit Syracuse geliefert werden 9.22.7.2), Weiser X3 HR & Gehaltsabrechnungsversion 9 (die Komponenten, die mit Syracuse geliefert werden 9.24.1.3), Sage X3-Version 11 (Syrakus v11.25.2.6), und Sage X3-Version 12 (Syrakus v12.10.2.8). Notiz, es gab keine kommerziell erhältliche Version 10 des Weisen X3.“
Die vier Schwachstellen haben die folgenden Kennungen:
- CVE-2020-7387: Offenlegung des Sage X3-Installationspfadnamens;
- CVE-2020-7388: Sage X3 nicht authentifizierte Remote-Befehlsausführung (RCE) als SYSTEM in der AdxDSrv.exe-Komponente;
- CVE-2020-7389: System CHAINE Variable Script-Befehlsinjektion;
- CVE-2020-7390: Gespeicherte XSS-Sicherheitslücke auf der Seite „Bearbeiten“ des Benutzerprofils;
Die schwerste der Schwachstellen befindet sich in der Remote-Administratorfunktion der Plattform. Der Fehler könnte die Möglichkeit für einen Supply-Chain-Angriff schaffen, ähnlich dem Angriff von Kaseya, falls die Plattform von MSPs genutzt wird (Managed Service Provider).
Verkettung von CVE-2020-7387 und CVE-2020-7388
„Bei Kombination von CVE-2020-7387 und CVE-2020-7388, ein Angreifer kann zunächst den Installationspfad der betroffenen Software erfahren, Verwenden Sie dann diese Informationen, um Befehle an das Hostsystem zu übergeben, die im SYSTEM-Kontext ausgeführt werden sollen. Dadurch kann ein Angreifer beliebige Betriebssystembefehle ausführen, um Benutzer auf Administratorebene zu erstellen, Schadsoftware installieren, und anderweitig für jeden Zweck die vollständige Kontrolle über das System übernehmen,“So der Bericht.
Minderung der Schwachstellen
Enterprise-Benutzer von Sage X3 sollten ihre Sage-Infrastruktur aktualisieren. Die neuesten lokalen Versionen von Sage X3 Version 9, Version 11, und Version 12 die Fehler beheben the. Jedoch, falls die Fehler zu diesem Zeitpunkt nicht angewendet werden können, Kunden sollten die folgenden Minderungstricks ausprobieren, gem der ursprüngliche Bericht:
- Für CVE-2020-7388 und CVE-2020-7387, den AdxDSrv.exe-TCP-Port auf keinem Host, auf dem Sage X3 ausgeführt wird, dem Internet oder anderen nicht vertrauenswürdigen Netzwerken zugänglich machen. Als weitere präventive Maßnahme, der adxadmin-Dienst sollte während der Produktion vollständig gestoppt werden.
- Für CVE-2020-7389, allgemein gesagt, Benutzer sollten diese Webapp-Schnittstelle nicht dem Internet oder anderen nicht vertrauenswürdigen Netzwerken aussetzen. Weiter, Benutzer von Sage X3 sollten sicherstellen, dass Entwicklungsfunktionen in Produktionsumgebungen nicht verfügbar sind. Für weitere Informationen, um dies zu gewährleisten, Bitte beachten Sie die Best Practices-Dokumentation des Anbieters.
- Für den Fall, dass die Netzwerksegmentierung aufgrund geschäftskritischer Funktionen unpraktisch ist, Nur Benutzern, denen die Systemadministration der Computer, die Sage X3 hosten, vertraut ist, sollte der Anmeldezugriff auf die Webanwendung gewährt werden..
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: