Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Arriva “Zyxel Commercialisti Italia”, iniziativa per educare i professionisti alla cybersecurity
Cyberattacchi: estorsioni e ransomware dietro la metà delle campagne malevole
Centinaia di estensioni Chrome sfruttate in una campagna di spam
CERT-AGID 11–17 ottobre: PagoPA, MAECI e le amministrazioni regionali tra i bersagli della settimana
In Italia oltre 2.000 attacchi settimana, ben più della media globale. La ricerca di Check Point

SAP corregge una vulnerabilità vecchia di 3 anni

Ott 13, 2016 Marco Schiaffino News, RSS, Vulnerabilità 1

Il bug corretto nell’ultima tornata di aggiornamenti risale al 2013. “Era stato corretto nel 2012, ma nelle versioni successive era ancora presente”

La scelta è tra il classico “meglio tardi che mai” e il più letterario “a volte ritornano”. Il caso della vulnerabilità che potrebbe aver minato la sicurezza dei sistemi SAP per ben 3 anni, in ogni caso, ha connotati piuttosto surreali.

Ancor più considerando che l’azienda tedesca ha un livello di visibilità e una diffusione sul mercato che non dovrebbe lasciare spazio a certe “dimenticanze”.

I contorni della vicenda vengono spiegati dalla società di sicurezza ERPScan in un post che passa ai raggi X le policy di aggiornamento di SAP e punta il dito contro l’episodio del bug pluriennale.

La vulnerabilità era relativa alla possibilità di aggirare l’autenticazione in un servizio, chiamato P4, che consente l’accesso in remoto alla piattaforma Java di SAP.

Stando al report di ERPScan, ci sarebbero almeno 256 servizi P4 di SAP accessibili via Internet.

Stando a quanto riportato da ERPScan, la vulnerabilità era stata individuata (e corretta) la prima volta nel 2012, ma si è ripresentata nel service pack 09 per la versione 7.2 della piattaforma, rilasciata l’anno successivo.

A partire dal 2013, quindi, tutti i sistemi erano vulnerabili a un attacco che avrebbe consentito a eventuali pirati informatici di accedere a informazioni sensibili.

A peggiorare la situazione, c’è il fatto che la funzione è normalmente esposta su Internet e, di conseguenza, facilmente accessibile da un attore esterno. Ora il bug è stato definitivamente corretto. Dopo 3 anni.

Condividi l'articolo