plataformas de SAP HANA se han encontrado simplemente vulnerables, que contiene varios defectos de alto riesgo. en la explotación, Las vulnerabilidades podrían permitir a un atacante tomar el control remoto total sobre la plataforma, incluso sin necesidad de usuario y contraseña. Las vulnerabilidades fueron descubiertas por Onapsis.
Como se explica por Sebastian Bortnik, Jefe de investigación de Onapsis, "este nivel de acceso permitiría a un atacante realizar cualquier acción sobre la información del negocio y los procesos de apoyo de HANA, incluyendo la creación de, robando, alterar y / o eliminar la información sensible."
Relacionado: CVE-2017-5638 parcheado, pero continúan los ataques, Las empresas en Riesgo
La explotación de estos defectos podrían causar las organizaciones implicadas muchas consecuencias graves.
Lo HANA componentes pasen las vulnerabilidades afectan?
Las fallas afectan al componente SAP HANA usuario de autoservicio que no está habilitado de forma predeterminada. En cuanto a las versiones de HANA, aquí está la lista exacta:
– SAP HANA MSF 12 (rel newdb 1.00.121.00.1466466057)
– SAP HANA 2 SPS0 (rel newdb 2.00.000.00.1479874437)
– SAP HANA SPS11 (1.00.110.144775). Publicado en noviembre 2015
– SAP HANA SPS10 (1.00.101.00.1435831848). Publicado en junio 2015
– SAP HANA SPS09 (1.00.91.1418659308). Publicado en noviembre 2014.
Más información sobre la Herramienta de autoservicio para SAP HANA
La herramienta permite a los usuarios activar funciones adicionales como cambio de contraseña, restablecimiento de la contraseña olvidada, auto-registro de usuarios. Hay pocas vulnerabilidades encontradas en el componente, y han sido etiquetadas con CVSS v3 Base de puntuación 9.80, Onapsis investigadores explican.
Si se explota con éxito, Las vulnerabilidades podrían permitir a un atacante hacerse pasar por otros usuarios, incluso altas privilegiados. Como se ha mencionado en el principio, la plataforma podría estar en peligro de forma remota sin la necesidad de credenciales de acceso.
Relacionado: Un error de ESET CVE-2016-9892 Expone Macs de ejecución remota de código
Los investigadores descubrieron los defectos en la última SAP HANA 2 plataforma, pero más tarde se dio cuenta de que algunas versiones anteriores también eran vulnerables. Sus resultados permiten a la conclusión de que los molestos defectos habían estado presentes en la plataforma de aproximadamente dos años y medio. Esto es cuando se introdujo por primera vez el usuario componente de autoservicio. Desafortunadamente, este largo período de tiempo sugiere que las vulnerabilidades ya han sido descubiertos por atacantes maliciosos para comprometer las organizaciones que utilizan sistemas SAP.
En cuanto a cómo las organizaciones deben hacer frente a estas vulnerabilidades, Sebastián Bortnik dijo:
Esperamos que las organizaciones utilizan esta inteligencia de amenazas para evaluar sus sistemas y confirmamos que no sean usuarios de este componente, y por lo tanto no se ven afectados por estos riesgos. Incluso si el servicio no está habilitado, aun así es recomendable que estas organizaciones se aplican los parches en caso de que se hace un cambio en el sistema en el futuro.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: