🚇 👼🏽 🌿 एसएपी पिछले दरवाजे 🧑🏿‍🤝‍🧑🏻 🧒 🚿

SAP सुरक्षा अनुसंधान का आयोजन पॉजिटिव टेक्नोलॉजीज में मेरे प्राथमिक लक्ष्यों में से एक है। इसके अलावा, मुझे यह पता लगाना था कि हमारे PHDays III फोरम पर दर्शकों से क्या बात की जाए। इसलिए शोध के लिए विषय पाया गया: SAP प्रणाली में आप उपयोगकर्ता प्रोफ़ाइल SAP_ALL (अर्थात सभी संभावित प्राधिकरणों) की उपस्थिति को कैसे छिपा सकते हैं। यदि कोई हमलावर सिस्टम में घुसने में कामयाब हो जाता है, तो उपयोगकर्ताओं को बनाने और उन्हें विशेषाधिकार प्रदान करने के अधिकारों को प्राप्त करता है, तो सिस्टम में फिक्सिंग के लिए अगला कदम है, निश्चित रूप से सभी आवश्यक अधिकारों के साथ, अपने लिए एक नया खाता बनाना। लेकिन ऐसा उपयोगकर्ता आंतरिक ऑडिट, बाहरी ऑडिट के परिणामों में दिखाई देगा, और यह उम्मीद करना मुश्किल है कि SAP_ALL अधिकारों वाला उपयोगकर्ता किसी का ध्यान नहीं जाएगा।

तो चलिए शुरू करते हैं। मैं काम के दो वैक्टर उल्लिखित:

अनुमतियों के विश्लेषण पर रिपोर्ट के काम को भ्रमित करें: प्रोफाइल घोंसले के शिकार द्वारा, संदर्भ उपयोगकर्ता का उपयोग करके, भूमिकाएं, प्रोफ़ाइल की प्रतियां, आदि।
यदि आप SAP के विशेषज्ञों से पूछते हैं: "उन उपयोगकर्ताओं की सूची कैसे प्राप्त करें जिनके कुछ अधिकार हैं?" - वे लेनदेन SUIM कहेंगे, RSUSR002 की रिपोर्ट करें, जो वास्तव में, एक और एक ही है। इसलिए निम्नलिखित विचार: RSUSR002 रिपोर्ट के ABAP कोड के विश्लेषण के आधार पर, रिपोर्ट के एल्गोरिथ्म को दूर करने के लिए एक तंत्र के साथ आते हैं, जिससे उपयोगकर्ता छिपता है।

पहले वेक्टर के लिए, जो लोग रुचि रखते हैं, उन्हें मेरे भाषण की सामग्री को देखने के लिए आमंत्रित किया जाता है, जबकि दूसरे पर नीचे चर्चा की जाएगी।

हम रिपोर्ट के तर्क की ओर मुड़ते हैं। तर्क सरल है: सिस्टम के सभी उपयोगकर्ताओं की एक सूची ली गई है, और प्रत्येक उपयोगकर्ता को आवश्यक प्राधिकारी की उपस्थिति के लिए चरण दर चरण जाँच की जाती है। यदि उपयोगकर्ता खोज शर्तों को पूरा नहीं करता है, तो उसे सूची से हटा दिया जाता है। सब कुछ सरल लगता है ... लेकिन विश्लेषण में, निम्नलिखित पंक्ति ध्यान आकर्षित करती है:

रहस्यमय नाम '..............' (12 अंक) वाला उपयोगकर्ता आउटपुट सूची से हटा दिया गया है। आइए व्यवहार में हमारी धारणा की जांच करें: उपयोगकर्ता को 12 बिंदुओं के नाम के साथ बनाएं, उसे विभिन्न भूमिकाएं और प्रोफाइल असाइन करें, और रिपोर्ट विश्लेषण के परिणामों को देखें। जैसा कि अपेक्षित था, रिपोर्ट परिणामों में उस नाम वाला कोई उपयोगकर्ता नहीं है!

क्या यह दिलचस्प नहीं है, SAP निर्माता को इसकी आवश्यकता क्यों होगी? बेशक, मैं इस सवाल का जवाब नहीं दे सकता। शायद यह उपयोगकर्ता EARLYWATCH रिपोर्ट तैयार करते समय बनाया गया था और कुछ "सिस्टम में" किया था? ..?

निम्नलिखित CVSS वेक्टर भेद्यता के लिए परिभाषित किया गया था:

CVSS Base Score: 4.6
CVSS Base Vector: AV:N/AC:H/AU:S/C:P/I:P/A:P

रेटिंग कम प्रतीत होती है, लेकिन सहमत हैं: इस तथ्य को महसूस करना अप्रिय है कि सिस्टम का निर्माता जिसमें सभी महत्वपूर्ण व्यापारिक जानकारी संग्रहीत है और हमारे द्वारा संसाधित की जाती है, कुछ विशेष रूप से स्थापित उपयोगकर्ताओं को छिपाने के लिए ऐसी खामियों को छोड़ दिया है। वास्तव में, इसके लिए क्या हो सकता है?

हालांकि, इतना बुरा नहीं है। जून 2013 में, इस भेद्यता को बंद करने का एक अपडेट पहले ही जारी किया गया था: SAP Note 1844202। जारी किए गए अपडेट को डाउनलोड करके, आप अपने सिस्टम पर एक समान समस्या से छुटकारा पा लेंगे।

जैसा कि नीचे दी गई तालिका से देखा जा सकता है, SAP_BASIS के सभी मौजूदा संस्करणों के लिए एक पैच जारी किया गया है, जो संस्करण 4.6B से शुरू होता है। दूसरे शब्दों में, यदि आपके पास अभी तक उन्नयन का समय नहीं है, तो एक सौ प्रतिशत संभावना वाला यह टैब आपके पास रहेगा।

वह सब, वास्तव में, जो मैं बताना चाहता था। मैं आपके विनम्र सेवक द्वारा शुरू किए गए "नोट" का उपयोग करने की सलाह देता हूं :)

SAP Security note 1844202: https://service.sap.com/sap/support/notes/1844202

दिमित्री गुटस्को, अग्रणी विशेषज्ञ, सकारात्मक टेक्नोलॉजीज द्वारा पोस्ट किया गया।

पीएस वीडियो (16:00 से वल्दाई हॉल) और PHDays में प्रस्तुति स्लाइड।

एसएपी पिछले दरवाजे

More articles: