Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Sito della community di SAP può esporre i dati dei suoi membri

Mar 22, 2022 Redazione news Gestione dati, News, RSS 0

L’equivalente di un dump del database degli utenti dei programmi Customer Influence è accessibile attraverso il protocollo OData, ma SAP ha dichiarato che tutto funziona come previsto

Un sito dei programmi Customer Influence di SAP, mirati a consentire agli utenti di dare il loro input al colosso del software, sta secondo The Register rendendo accessibili agli utenti più esperti i dati dei suoi membri, esponendoli al rischio di attacchi di social engineering.

SAP gestisce sei di questi programmi attraverso un sito aperto a migliaia di membri. Tutti possono normalmente vedere nome, azienda, proposte e commenti degli altri partecipanti. Secondo il blog del consulente dell’azienda Tobias Hofmann, però, chi conosce il back-end di SAP può facilmente accedere a più informazioni.

Per farlo devono sfruttare il servizio OData che fornisce i dati per i programmi Customer Influence ed è il protocollo utilizzato per comunicare con il back-end di SAP attraverso il linguaggio di programmazione dell’azienda, ABAP.

In questo modo possono accedere a più dati di quelli previsti dalla policy sulla privacy degli utenti e, secondo Hofmann, l’assenza di restrizioni e la possibilità di accesso a tutte le informazioni disponibili all’interno del servizio lo rendono equivalente a un dump del database, ossia un’esportazione del suo contenuto e della sua struttura.

Nel suo blog, espone come i membri potrebbero estrarre dati di specifiche aziende, inclusa la stessa SAP, che ha 27.000 voci per i suoi dipendenti, anche se alcune potrebbero essere duplicate. Cercando uno specifico dirigente, un membro potrebbe trovarne indirizzo e-mail, MEMBER_ID e altre informazioni personali.

Le password non vengono esposte e non è possibile loggarsi con l’identità di un altro utente, ma secondo Hofmann i dati esposti sono comunque eccessivi. Un hacker potrebbe usarli per attacchi di social engineering o l’invio di spam mirata.

Hofmann ha segnalato la possibilità di accesso ai dati a SAP, comunicando all’azienda che avrebbe pubblicato un post in proposito, ma dichiara che gli è stato semplicemente risposto che il sito funziona correttamente in base alla sua progettazione.

Condividi l'articolo