Blackhat-Konferenz: SAP-Software gefährdet
Der russische Sicherheitsforscher Alexander Polyakov demonstrierte auf der Blackhat-Konferenz die Ausnutzung einer SAP-Schwachstelle. Diese Lücke ermögliche es jedem Angreifer mit Zugang zur Web-Schnittstelle des Portals, ein Benutzerkonto zu erstellen und dieses zu den Administratorgruppen zu transportieren. Somit könnte jede SAP-Installation gefährdet sein.
Alle Netweaver-Plattformen seien eine Bedrohung, denn SAP habe noch keinen Patch bereitgestellt. Der Angriff beruhe auf einem unterbrochenen Authentifizierungsmechanismus, der nur für explizit genannte HTTP-Methoden gelte. Anfragen könnten damit unter Umgehung jeglicher Authentifizierungsmechanismen versendet werden.
Die Security-Forscher von Deny-All empfehlen, sämtliche Methoden außer »GET« und »POST« per Filter zu unterbinden. Man solle die Tools rWeb oder sProxy des Sicherheitsunternehmens nutzen, um eine entsprechende Blacklist zu erstellen.
In kommenden Versionen seiner SAP-Sicherheitstools wolle Deny-All schon eine entsprechende Security-Policy einbauen, verspricht das Unternehmen in seiner aktuellen Sicherheitswarnung.
(Quelle kleines Bild oben: alphaspirit – Fotolia.com)