Компанія SAP, світовий лідер у розробці корпоративного програмного забезпечення, випустила серпневий набір оновлень безпеки, усуваючи 17 вразливостей у своїх продуктах. Серед виправлених проблем особливу увагу привертають дві критичні вразливості, які можуть призвести до повної компрометації систем клієнтів.
Критична вразливість обходу аутентифікації в SAP BusinessObjects
Найсерйознішою проблемою є вразливість з ідентифікатором CVE-2024-41730, яка отримала максимальну оцінку 9,8 за шкалою CVSS. Ця вразливість дозволяє віддаленим зловмисникам обійти механізми аутентифікації в SAP BusinessObjects Business Intelligence Platform версій 430 та 440.
Згідно з описом розробників, “якщо для Enterprise-аутентифікації увімкнено Single Sign-On, неавторизований користувач може отримати токен входу в систему, використовуючи REST-ендпоінт”. Наслідки експлуатації цієї вразливості можуть бути катастрофічними, оскільки зловмисник отримує можливість повністю скомпрометувати систему, порушивши конфіденційність, цілісність та доступність даних.
Критична вразливість підробки запитів у SAP Build Apps
Друга критична вразливість (CVE-2024-29415) з оцінкою 9,1 за шкалою CVSS пов’язана з можливістю підробки запитів на стороні сервера (SSRF) у додатках, створених за допомогою SAP Build Apps версії 4.11.130 та старших.
Проблема виникла через помилку в пакеті IP для Node.js, який некоректно обробляє восьмеричне представлення IP-адрес. Зокрема, адреса 127.0.0.1 (localhost) помилково розпізнається як публічна та глобально маршрутизована. Це відкриває можливості для різноманітних атак, включаючи обхід захисних механізмів та несанкціонований доступ до внутрішніх ресурсів.
Історія вразливості та попередні спроби виправлення
Варто зазначити, що ця проблема є наслідком неповного виправлення аналогічної вразливості CVE-2023-42282, виявленої минулого року. Це підкреслює важливість ретельного тестування та верифікації патчів безпеки, особливо для критичних компонентів корпоративних систем.
Інші важливі оновлення безпеки
Крім двох критичних вразливостей, серпневий патч SAP також усуває чотири вразливості високої серйозності з оцінками від 7,4 до 8,2 за шкалою CVSS. Хоча деталі цих вразливостей не розкриваються, їх наявність підкреслює необхідність своєчасного оновлення систем SAP.
Враховуючи критичність виявлених вразливостей та потенційні наслідки їх експлуатації, адміністраторам систем SAP рекомендується негайно застосувати випущені оновлення. Крім того, важливо провести аудит систем на предмет можливих ознак компрометації, особливо якщо оновлення не були встановлені відразу після їх випуску. Регулярний моніторинг, своєчасне оновлення та дотримання принципів найменших привілеїв залишаються ключовими елементами забезпечення безпеки корпоративних інформаційних систем.
