नवीनतम SAP सुरक्षा समाचार

पिछले एक महीने में, SAP सुरक्षा के क्षेत्र में कई महत्वपूर्ण घटनाएं हुई हैं, जिनके बारे में मैं बात करना चाहूंगा।

सबसे पहले, दो प्रमुख सुरक्षा सम्मेलन थे जिन्होंने एसएपी सुरक्षा के विषय को संबोधित किया: ब्लैकहैट और डेफकॉन। हमने (डिजिटल सुरक्षा अनुसंधान प्रयोगशाला के विशेषज्ञ) दोनों घटनाओं में भाग लिया: ब्लैकहाट पर एसएपी पर एक रिपोर्ट और डेफकॉन पर वीएमवेयर पर एक रिपोर्ट के साथ। मैं यहां वीएमवेयर रिपोर्ट का उल्लेख करता हूं, क्योंकि यह प्रस्तुति इस बात की पुष्टि करती है कि एसएपी सिस्टम की सुरक्षा न केवल एसएपी अनुप्रयोगों की सुरक्षा में निहित है, बल्कि बाकी बुनियादी सुविधाओं में भी है।

डेफकॉन पर वीएमवेयर में 1. कमजोरियाँ

पैठ के लिए एसएपी परिदृश्य का परीक्षण करते समय यह अध्ययन किया गया था। जबकि हमारी टीम ने एसएपी अनुप्रयोगों पर ध्यान केंद्रित किया, स्वाभाविक रूप से, अलेक्जेंडर मिनोजेनको ने इस तथ्य पर ध्यान आकर्षित किया कि एसएएम सिस्टम वीएमवेयर ईएसएक्सआई प्लेटफॉर्म पर स्थापित किए गए थे। यही है, भले ही इस प्रणाली में सभी एसएपी अनुप्रयोगों को संरक्षित किया गया था, फिर भी एक हमलावर ESXi प्रबंधन कंसोल - vSphere तक पहुंच प्राप्त करके सभी प्रणालियों का नियंत्रण ले सकता है। इसलिए, वह सभी आभासी मशीनों तक अनधिकृत पहुंच की एक विधि की खोज से हैरान था - और शून्य-सुरक्षा कमजोरियों सहित कई सुरक्षा छेदों का उपयोग करके ऐसी विधि मिली।

विवरण प्रस्तुति में पाया जा सकता है (अंग्रेजी में)।

2. SAP में XXE टनलिंग पर ब्लैकहैट पर प्रस्तुति

ब्लैकहैट में, हमने SSRF (सर्वर साइड रिक्वेस्ट फोर्जरी) हमलों के बारे में बात की और इन हमलों के उदाहरणों की एक बड़ी संख्या प्रदान की। विशेष रूप से, एसएपी के साथ, हमने अनुक्रम में कई कमजोरियों का उपयोग करके लक्षित हमले का एक उदाहरण दिखाया:

• Dilbertmsg सेवा तक अनधिकृत पहुँच
• XXE टनलिंग (XML के माध्यम से टीसीपी पैकेट टनलिंग)
• एक्सएमएल के माध्यम से भेजे गए आरडब्ल्यूएक्स मेमोरी चर में भंडारण
• एसएपी कर्नेल में बफर अतिप्रवाह

वेब पर इस हमले के बारे में बहुत सी जानकारी उपलब्ध है, हमारी रिपोर्ट से लेकर प्रेस के लेख और यहां तक ​​कि वीडियो साक्षात्कार तक:

• प्रदर्शन
• रिपोर्ट
• InfosecIsland पर वीडियो
• DarkReading लेख

हमने XXE कमजोरियों का फायदा उठाने के लिए एक XXE स्कैनर भी लिखा है। जल्द ही हम इसका बीटा वर्जन जारी करेंगे और प्रकाशित करेंगे।

3. SAP DIAG प्रोटोकॉल को उलटने के लिए समर्पित, डेफकॉन में मार्टिन गैलो की प्रस्तुति

CoreSecurity मार्टिन गालो ने DIAG प्रोटोकॉल के विघटन और फ़ज़िंग के बारे में बात की। उनकी कई खोजों को पहले प्रकाशित किया गया था, लेकिन अब उन्होंने DIAG प्रोटोकॉल में बफर अतिप्रवाह भेद्यता का विवरण जारी किया है। इन कमजोरियों का उपयोग करते हुए, एक अनाम हमलावर एक DoS हमले का संचालन कर सकता है। प्रदर्शन की गई कमजोरियों में से एक कोड निष्पादन भी हो सकता है। सच है, सिस्टम में ट्रेस 3 स्तर पर सेट होना चाहिए, और यह औद्योगिक प्रणालियों में बहुत लोकप्रिय नहीं है।

4. एसएपी में रिमोट कमांड इंजेक्शन

जैसा कि पाठक पहले से ही जानते हैं, प्रत्येक महीने के मध्य में, SAP उन सुरक्षा शोधकर्ताओं के लिए धन्यवाद सूची प्रकाशित करता है जिन्होंने SAP उत्पादों में कमजोरियां पाई हैं। शोधकर्ताओं को तीन महीने बाद अपनी वेबसाइट पर खोजी गई कमजोरियों का विवरण प्रकाशित करने का अधिकार है, ताकि जिन कंपनियों को अपनी सुरक्षा की परवाह है वे पैच स्थापित कर सकें।

उन लोगों के साथ क्या हो सकता है जो समय पर पैच स्थापित नहीं करते हैं, इस पोस्ट से स्पष्ट है।

कॉन्टेक्ट आईएस के सहकर्मियों ने SAP HostControl सेवा में कमांड इंजेक्शन भेद्यता का विवरण प्रकाशित किया है। वे कहते हैं कि "यह भेद्यता प्रमाणीकरण के बिना SAP व्यवस्थापक की ओर से 100 प्रतिशत विश्वसनीयता को मनमाना कोड निष्पादित करने की अनुमति देती है।"

तथ्य यह है कि SAP HostControl के लिए GetDatabaseStatus कमांड के साथ SOAP अनुरोध का उपयोग करना, जो कि डिफ़ॉल्ट सेटिंग्स के मामले में गुमनाम रूप से किया जाता है (हालांकि, यदि आप सिस्टम सेटिंग्स पर काम करते हैं, तो आप इस फ़ंक्शन को कई अन्य लोगों की तरह अक्षम कर सकते हैं) - आप एक कमांड को लागू कर सकते हैं जिसे एप्लिकेशन द्वारा निष्पादित किया जाएगा। dbmsrv.exe कमांड लाइन, जो बदले में, dbmcli.exe को SOAP अनुरोध से प्राप्त मापदंडों के साथ कॉल करेगी। इस प्रकार, आप ओएस में किसी भी कमांड को निष्पादित कर सकते हैं।

सबसे दिलचस्प बात यह है कि (जैसा कि हमने " आंकड़े में एसएपी सुरक्षा " रिपोर्ट में वर्णित है), कई कंपनियां इंटरनेट से इस सेवा तक खुली पहुंच छोड़ती हैं। संख्या की बात करें, तो दुनिया भर में एसएपी का उपयोग करने वाली 10% कंपनियां एसएपी होस्टकंट्रोल की रिमोट एक्सेस की अनुमति देती हैं। इन कंपनियों का क्या होगा अगर साइबर धोखेबाज इस सुरक्षा छेद का उपयोग करते हैं, मुझे लगता है कि यह कल्पना करना आसान है।

जहां तक ​​सुरक्षा का सवाल है, इस समस्या को SAP Note 1341333 के साथ ठीक किया जा सकता है। हालांकि, SAP HostControl को अन्य समान हमलों और सूचना प्रकटीकरण से संबंधित समस्याओं से बचाने के लिए, मैं सेवा / संरक्षितwebmethodod = SDEFAULT पैरामीटर भी निर्धारित करने की सलाह देता हूं। यह इस सेवा को कुछ तरीकों से बचाएगा जो दूरस्थ कॉल से संरक्षित करने की आवश्यकता है। अधिक जानकारी यहाँ ।

उसके बाद, स्वचालित टूल का उपयोग करके दूरस्थ कॉल की संभावना की जांच करना उचित है।

5. ZDI से SAP क्रिस्टल रिपोर्ट और SAP BusinessObjects में रिमोट कोड का निष्पादन

ZDI ने SAP क्रिस्टल रिपोर्ट और SAP BusinessObjects में दो कमजोरियों का विवरण प्रकाशित किया। सूत्र कहता है: “यह बग किसी हमलावर को कमजोर SAP क्रिस्टल रिपोर्ट सिस्टम पर मनमाने ढंग से कोड निष्पादित करने की अनुमति देता है। ऑपरेशन के लिए प्रमाणीकरण की आवश्यकता नहीं है। " SAP द्वारा भेद्यता को पहले से ही बंद कर दिया गया है , और इसका दोहन करना किसी विशिष्ट बफर अतिप्रवाह की तुलना में कुछ अधिक कठिन है, क्योंकि यह सेवा एक यादृच्छिक पोर्ट को सुनती है, इसलिए हमलावर को पहले यह निर्धारित करना होगा कि क्या यह सेवा सिस्टम में उपलब्ध है।

एसएपी बिजनेस ऑब्जेक्ट्स एफआई-सीओ में दूसरी भेद्यता के लिए, इसके संचालन के लिए एक वैध उपयोगकर्ता की भागीदारी की आवश्यकता होती है। CVSSv2 के अनुसार आलोचना 7.5 है, यहाँ पैच डाउनलोड किया जा सकता है ।

6. अगस्त सुरक्षा अद्यतन

एसएपी के नए सुरक्षा अपडेट 8 बाहरी शोधकर्ताओं के लिए धन्यवाद के साथ जारी किए गए हैं, लेकिन मैं उनके बारे में बाद में बात करूंगा।