SAP HANA platforms zijn gewoon gevonden kwetsbaar, met een aantal hoog risico gebreken. Bij uitbuiting, de beveiligingslekken kan leiden dat een aanvaller volledige remote controle over het platform, U hoeft zelfs gebruikersnaam en wachtwoord. De zwakke plekken ontdekt door Onapsis.
Zoals uitgelegd door Sebastian Bortnik, Hoofd Research bij Onapsis, "dit niveau van toegang zou een aanvaller elke actie uit te voeren over de zakelijke gegevens en processen worden ondersteund door HANA, waaronder het maken van, diefstal, wijzigen en / of gevoelige informatie te verwijderen."
Verwant: CVE-2017-5638 gepatchte maar nog steeds onder vuur, Bedrijven at Risk
De exploitatie van deze gebreken de organisaties die ertoe kunnen leiden dat betrokkenen veel ernstige gevolgen.
Wat HANA Components Doe de beveiligingslekken Affect?
De gebreken van invloed op de SAP HANA Gebruiker Self Service onderdeel dat niet standaard is ingeschakeld. Wat de versies van HANA, hier is de exacte lijst:
– SAP HANA SPS 12 (newDB rel 1.00.121.00.1466466057)
– SAP HANA 2 SPS0 (newDB rel 2.00.000.00.1479874437)
– SAP HANA SPS11 (1.00.110.144775). Uitgebracht in november 2015
– SAP HANA SPS10 (1.00.101.00.1435831848). Uitgebracht in juni 2015
– SAP HANA SPS09 (1.00.91.1418659308). Uitgebracht in november 2014.
Meer informatie over de Self Service Tool voor SAP HANA
De tool stelt gebruikers in staat om extra functies, zoals het wijzigen van wachtwoorden te activeren, resetten van vergeten wachtwoord, de gebruiker zelf-registratie. Er zijn maar weinig kwetsbaarheden gevonden in de component, en ze zijn gemarkeerd met CVSS v3 Base Score van 9.80, Onapsis onderzoekers verklaren.
Als met succes geëxploiteerd, de kwetsbaarheden kan een aanvaller aan andere gebruikers imiteren, zelfs high bevoorrechten. Zoals vermeld in het begin, het platform kan op afstand worden aangetast, zonder de noodzaak van inloggegevens.
Verwant: ESET CVE-2016-9892 Flaw bloot Macs aan externe code worden uitgevoerd
De onderzoekers ontdekten dat de gebreken van de nieuwste SAP HANA 2 platform, maar later besefte dat sommige oudere versies waren ook kwetsbaar. Hun bevindingen laten de lastige conclusie dat de gebreken die in het platform was ongeveer twee en een half jaar. Dit is wanneer de gebruiker Self Service component voor het eerst werd geïntroduceerd. Helaas, deze lange periode suggereert dat de kwetsbaarheden zijn al ontdekt door kwaadwillende aanvallers organisaties die SAP-systemen in gevaar brengen.
Over hoe organisaties moeten omgaan met deze kwetsbaarheden, Sebastian Bortnik zei:
We hopen dat organisaties zullen deze bedreiging intelligentie gebruiken om hun systemen te beoordelen en bevestigen dat zij momenteel niet met behulp van deze component, en daarom worden niet beïnvloed door deze risico's. Zelfs als de service is niet ingeschakeld, raden we deze organisaties de patches in het geval van een wijziging is aangebracht om het systeem in de toekomst toe te passen.
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: