标签: SAP

Sap 发布本月安全补丁,解决十年漏洞问题

外媒 3 月 14 日消息,Sap 本周发布了其 3 月份的一组安全补丁,以解决产品中不同层级的漏洞问题,其中包括一些已经存在了十多年的安全缺陷。 SAP 发布的 27 个安全说明中,有 6 个具有高优先级,19 个被评为中等优先级,并且其中有 4 个是以前发布过的安全说明的更新。 本月处理的最常见的漏洞类型是缺少授权检查(占 6 个),其次是信息披露(5 个),跨站点脚本(4 个)。除此之外,SAP 还解决了 3 个 SQL 注入错误、2 个目录遍历问题、2 个实施漏洞以及拒绝服务、硬编码证书、XML 外部实体、代码注入和点击劫持错误等缺陷。 SAP 本月最厉害的安全说明解决了 SAP 网络图形服务器(IGS)中具有高优先级评级的三个漏洞(CVSS 基础评分:8.8),其中包括:CVE-2004-1308(内存损坏)、CVE-2005-2974(拒绝服务)和 CVE-2005-3350(远程代码执行)。这些漏洞已经存在十多年,影响 libtiff、giflib 、libpng 等处理图像(分别为 TIFF、GIF 和 PNG )的第三方开源库。 不仅如此,SAP 还处理了两个高风险的信息披露漏洞,分别是影响 SAP HANA 捕获和重放跟踪文件(CVE-2018-2402 – CVSS 基本评分:7.6)、SAP 业务流程自动化( BPA ) (CVE – 20182400 – CVSS 基础评分:7.5 )的漏洞问题。 消息来源:securityweek,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

消息称 SAP / McAfee /赛门铁克正让俄罗斯监管机构审查产品源代码

据路透社报道,安全软件制造商让俄罗斯政府在其产品中寻找漏洞。这是美国使用该软件的机构所关心的问题。据路透社报道,俄罗斯被允许挖掘美国政府使用的软件漏洞。路透社周四报道,SAP,赛门铁克和迈克菲都向全球客户销售业务和安全软件,这让俄罗斯当局能够审查他们的代码。 这是一个令人担忧的问题,因为美国政府机构也使用该软件,美国立法者和安全专家告诉路透社,俄罗斯知道的任何漏洞都会带来安全风险。 路透社说,为了这些公司在俄罗斯运营,他们不得不允许地方当局查看这些代码。但是路透社没有发现俄罗斯政府审查源代码在网络攻击中起作用的任何例子。不过外界认为,俄罗斯政府影响了 2016 年美国总统选举结果,美国很容易受到网络攻击影响。SAP、Symantec 和 McAfee 官方目前没有对路透社的报道发表评论。 稿源:cnBeta,封面源自网络;

SAP 发布安全漏洞报告:修复影响 5000 亿次安装的 SAP POS 漏洞

全球知名企业资源管理公司 SAP 于 7 月 11 日发布 “ SAP Security Notes ” 安全漏洞报告,包含 23 款安全补丁程序,其中最为严重的 SAP POS 漏洞,或将影响约 5000 亿次用户安装。 安全公司 ERPScan 专家在 SAP POS Suite 服务器终端发现多处缺失授权检查漏洞,允许未经身份验证的攻击者远程访问目标系统,读取/删除/输入敏感信息、关闭易受攻击的应用程序与监控 POS 收据窗口内容。此外,ERPScan 专家团队针对 SAP 漏洞发布一份详细说明: ○ SAP PoS 中存在多处缺失授权检查漏洞(CVSS 基准分:8.1):攻击者无需任何授权即可利用漏洞访问服务系统,从而窃取信息、升级特权或开展其他攻击活动。 ○ SAP Host Agent 中存在缺失授权检查漏洞(CVSS 基准分:7.5):攻击者无需任何授权即可利用漏洞访问目标服务系统。 ○ SAP CRM 互联网出售管理控制平台存在多处跨站点脚本与跨站伪造请求漏洞(CVSS 基准分:6.1):攻击者可以利用跨站脚本漏洞将恶意脚本注入页面,访问 Cookie、会话令牌与其他关键信息,以及存储与 Web 应用程序的交互。此外,未经授权的攻击者不仅可以利用 XSS 漏洞修改显示内容,还可利用用户会话通过跨站点伪造请求漏洞提出包含特定 URL 与特定参数的请求,以便执行权限功能。 ○ SAP Governance 中存在风险与合规访问控制(GRC)代码注入漏洞(CVSS 基准分:6.5)。 ○ SAP BI Promotion Management 应用程序具有 XML 外部实体漏洞(CVSS 基准分: 6.1)。 ○ SAP Business Objects Titan 具有 XML 外部实体漏洞(CVSS 基准分: 5.4)。 目前,ERPScan 并未公布任何技术细节,以避免网络犯罪分子利用漏洞展开攻击活动。安全专家强烈建议 SAP 客户尽快安装修补程序。 原作者:Pierluigi Paganini,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

SAP 修复云商务平台 HANA 系统关键漏洞

据外媒报道,全世界排名第一的 ERP 软件公司 SAP 于近日修补了云商务平台 HANA 中的关键漏洞。 此前研究人员表明:SAP 修复的 27  个漏洞中,存在两个关键漏洞。其中一个是:攻击者在不需要经过任何验证的同时,就可以利用漏洞通过 HANA 的用户自助服务元件入侵整个系统;另一个则是:允许攻击者通过假冒系统中的高级用户来提升特权,从而窃取或删除敏感资料。 SAP HANA 是一个内存数据库,其中管理系统主要用于存储、检索和处理核心业务数据。所以,在过去一年中也吸引了越来越多的黑客人员对其进行攻击。 这批漏洞是由安全公司 Onapsis Research Labs 发现,并于今年 1 月通报 SAP ,随即展开修补。据 Onapsis 的研究人员表示,一些漏洞在两年半前的组件发布时就已经存在。但这些漏洞却迟迟未被察觉,直到去年 11 月发布的 HANA 2 中才被发现。目前,美国国土安全部小组(US-CERT)提醒用户,及时的更新系统。运行老旧的系统或不当的配置都会影响 SAP 业务系统的安全性,大大增加数据丢失的风险。 原作者: Chris Brook,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接