Уязвимость в SAP NetWeaver открывает доступ ко всем корпоративным системам
По информации компании Digital Security, спустя 2 месяца с момента публикации доклада о критической уязвимости в J2EE движке SAP не все смогли оценить ее критичность, несмотря на то, что данная уязвимость представляет крайне серьезную угрозу безопасности SAP. По мнению экспертов Digital Security, это связано с тем, что напрямую ей подвержены только системы на основе JAVA, которые зачастую не хранят критичные данные, как, например, ERP- или BI-системы, а используются для связи этих систем.
В новом докладе, который будет представлен на конференции HITB в Малайзии, специалисты ERPScan покажут прототип червя под кодовым именем SAPocalypse, который, используя уязвимость в SAP NetWeaver JAVA-сервере, доступном из интернета, подключается к доверенным ABAP-серверам во внутренней сети, которыми уже могут быть ERP-,CRM-,BI- и прочие системы. Затем вирус ворует из этих систем критичные данные, а также данные для подключения к другим доверенным серверам и так далее. Учитывая глубокую интеграцию бизнес-процессов и, как следствие, связность внутренних систем через внутренние линки, червь сможет проникнуть практически во все системы компании через единственную уязвимость.
В Digital Security рассчитывают, что новый доклад станет очередным стимулом для компаний закрыть данную критичную уязвимость, а также проанализировать свои системы на безопасность в комплексе.
© CNews
