Une nouvelle vulnérabilité critique affectant la plateforme SAP Commerce a été signalée hier.
CVE-2021-21477 dans SAP Commerce Platform
CVE-2021-21477 pourrait permettre aux acteurs de la menace de tirer parti de l'application SAP utilisée par les entreprises de commerce électronique, conduisant à l'exécution de code à distance. La faille affecte les versions de SAP Commerce 1808, 1811, 1905, 2005, et 2011. Son score de gravité est 9.9 sur dix selon l'échelle CVSS, rendre l'impact critique. Atténuer la vulnérabilité dès que possible est fortement conseillé.
Comment fonctionne la vulnérabilité?
Cela pourrait permettre à des utilisateurs spécifiques avec les privilèges requis de modifier les règles de Drools, un moteur créant les règles de la plateforme. Les entreprises utilisent ces règles pour naviguer dans leurs variations complexes de prise de décision.
Plus précisement, le bogue provient d'une certaine règle qui contient un attribut ruleContent, fournir des fonctions de script. Une mauvaise configuration des autorisations utilisateur par défaut fournies avec SAP Commerce pourrait permettre aux utilisateurs et groupes d'utilisateurs à privilèges inférieurs d'obtenir des autorisations et de modifier la règle DroolsRule. Cette modification pourrait alors conduire à un accès involontaire aux fonctions de script correspondantes.
En d'autres termes, un attaquant avec des privilèges inférieurs pourrait être en mesure d'injecter du code dans les scripts de règles Drools. L'injection d'un tel code crée une condition d'exécution de code à distance, ce qui pourrait conduire au compromis de l'hôte sous-jacent.
Un correctif pour CVE-2021-21477 est disponible, Mais…
Heureusement, un patch a déjà été publié. Cependant, le correctif n'est que partiel, car il traite les autorisations par défaut lors de l'initialisation d'une nouvelle installation de la plateforme.
«Pour les installations existantes de SAP Commerce, des étapes de correction manuelle supplémentaires sont requises. La bonne nouvelle est que pour les installations existantes, ces étapes de correction manuelles peuvent être utilisées comme solution de contournement complète pour les installations SAP Commerce qui ne peuvent pas installer les dernières versions de correctifs en temps opportun," expliqué chercheur en sécurité Thomas Fritsch d'Onapsis.
En juillet 2020, une autre vulnérabilité de sécurité critique a été détectée dans l'application SAP NetWeaver qui contient un composant Java appelé Assistant de configuration LM. La vulnérabilité CVE-2020-6287 a été abusé par des groupes de piratage. Le nombre d'entreprises concernées qui incluent ce logiciel est d'environ 400,000. Un audit de sécurité indépendant a révélé qu'il y avait 2,500 Systèmes SAP exposés à Internet et vulnérables au bogue.
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: