SAP phát hành bản vá cho bảy lỗ hổng trong ba sản phẩm

SAP đã đưa ra bản vá lỗi để giải quyết 7 lỗ hổng khác nhau trong 3 dòng sản phẩm của hãng. Nếu khai thác các lỗi trên tin tặc có thể tiếp xúc với những người đang chạy hệ thống trong những đợt tấn công, tiết lộ thông tin và trong một số trường hợp đặc biệt có thể đòi sự thoả hiệp từ phía người dùng.

SAP là công ty phần mềm lớn nhất Châu Âu có trụ sở tại Đức.

Tất cả các lỗi trên đều được tiến hành khai thác từ xa và nó ảnh hưởng trực tiếp đến hệ thống quản lý cơ sở dữ liệu (CSDL) của công ty phần mềm Đức HANA, doanh nghiệp phần mềm BusinessObjects phần mềm phân tích kinh doanh NetWeaver Warehouse.

Các công ty chủ yếu sử dụng phần mềm để theo dõi tất cả những hoạt động liên quan đến doanh nghiệp như: doanh số bán hàng, tài chính, nguồn nhân lực… Chuyên gia của Onapsis Research Labs đã phát hiện ra các lỗ hổng và cảnh báo rằng các lỗi này có thể phơi bày một lượng lớn thông tin, dữ liệu khách hàng, giá sản phẩm, báo cáo tài chính, thông tin về nhân viên và nhiều hơn nữa.

Một trong hai lỗ hổng nghiêm trọng nhất có thể cho phép thực thi mã cho phép kẻ tấn công có thể tấn công hoàn toàn hệ thống HANA và bất kỳ thông tin xử lý hoặc được lưu trữ ở đó. Những lỗ hổng còn lại có thể tạo ra một đợt tấn công từ chối dịch vụ (DDoS ) tấn công chống lại BusinessObjects hay bất cứ thứ gì để đến cuối cùng có thể khiến đóng cửa toàn hệ thống. Cả hai đều tiềm ẩn những nguy cơ cao.

Nhiều lỗ hổng XSS trên cả HANA và BusinessObjects cũng đã được tìm thấy. Nhưng lỗi nguy hiểm nhất là một lỗ hổng bên trong Business Warehouse. Nó cho phép kẻ tấn công được xác thực có thể vượt quyền hạn để xâm nhập vào các thông tin kỹ thuật khi không có đủ quyền hạn. Các nhà nghiên cứu phát hiện ra rằng có một chức năng trong phần mềm không qua quá trình kiểm tra đặc quyền trước khi lấy thông tin.

Các lỗi mà mất nhiều thời gian nhất để khắc phục liên quan đến vấn đề tiết lộ thông tin trong BusinessObjects. Nó có thể cho một kẻ tấn công thu thập thông tin người dùng và ngược lại sử dụng nó để xây dựng các cuộc tấn công đặc biệt nhắm tới hệ thống của nạn nhân. Với lỗ hổng này kẻ tấn công có thể gửi một yêu cầu về dịch vụ web để cố gắng xác thực người dùng.

threatpost