El sistema SAP ha parcheado una docena de agujeros en su sistema de gestión de memoria, HANA, esto podría dar lugar a ataques de inyección SQL, errores de inseguridad informática (XSS) y vulnerabilidades en cuanto a corrupción de la memoria.

Muchos de los errores fueron conseguidos por la empresa hace meses, pero no fue hasta el martes que Onapsis, la empresa de seguridad que descubrió las vulnerabilidades, les reveló.

Tal vez la vulnerabilidad más importante que la firma encontró es una que podría haber dejado que un atacante explotara varias vulnerabilidades de corrupción de memoria en su cliente HDBSQL y abusar de interfaces de gestión en el sistema. Al realizar una entrada diseñada específicamente, un atacante podría haber ejecutado comandos y comprometer cualquier información almacenada y procesada por la plataforma.

Otra vulnerabilidad igualmente riesgosa podría haber permitido a un atacante remoto leer la información comercial secreta almacenada en el sistema y ajustar ciertos parámetros para bloquear a otros usuarios. Los atacantes podrían haber utilizado la configuración “rastro de Banco de trabajo”, un entorno de desarrollo basado en la web en HANA, que específicamente para ejecutar comandos SQL de su elección.

Otras vulnerabilidades que Onapsis han descubierto podrían haber permitido a un atacante comprometer parcialmente el sistema, junto con cualquier información procesada o almacenada por ella a través de una vulnerabilidad de inyección de comandos, las opciones de configuración y borrar las credenciales de usuario a través de una inyección SQL.

Seis casos en el software en el que un atacante podría haber inyectado código SQL y dos vulnerabilidades XSS se fijaron por los parches.

SAP repara la mayoría de los errores en abril y mayo de este año, pero Onapsis, una firma con sede en Boston que se especializa en SAP y Oracle ciberseguridad esperó hasta esta semana para anunciar todos los errores de un solo golpe.

Otro asunto problemático en el popular sistema HANA (una vez que se ha llamado a SAP «el producto más atractivo de siempre»), fue encontrado durante el verano. Investigadores de ERPScan, otra firma que desentierra los errores en el software de planificación de recursos empresariales, señalaron que en Junio Black Hat Europa que una clave de cifrado predeterminada estaba protegiendo contraseñas, datos y copias de seguridad en el sistema.

Dado que la clave de cifrado era estática, un atacante sólo tendría que utilizar algunos trucos, como una inyección de SQL o un recorrido de directorio, para leer los datos cifrados, o ejecutar remotamente código.

Mientras que algunos clientes siguen sus recomendaciones, SAP señala en la documentación de HANA, que anima a los usuarios finales a verificar que las llaves maestras por defecto han sido cambiadas, advirtiendo que una mala configuración podría dejar los sistemas vulnerables.

Fuente: threatpost 

Compartir