"Tienduizenden bedrijven met onveilige SAP-configuraties"
Er zijn wereldwijd tienduizenden bedrijven met onveilige SAP-configuraties waardoor aanvallers de systemen op afstand kunnen compromitteren. Exploits om deze aanvallen uit te voeren zijn online verschenen. SAP is software voor bedrijfsprocessen en is vooral binnen grote ondernemingen populair.
Vorige maand demonstreerde beveiligingsonderzoeker Mathieu Geli tijdens een securityconferentie hoe verkeerd geconfigureerde SAP-installaties zijn te compromitteren. Het probleem wordt veroorzaakt door een verkeerd geconfigureerde Access Control List in SAP Gateway of Message Server. Message Server en Gateway zijn in alle SAP-omgevingen aanwezig. Daardoor kunnen alle SAP NetWeaver Application Servers (AS) en S/4HANA-systemen risico lopen.
Door de misconfiguratie kan een aanvaller een applicatie laten denken dat hij een ander SAP-product is en zo zonder inloggegevens volledige toegang tot het systeem krijgen. De enige vereiste is toegang tot het SAP-systeem. Vervolgens is het mogelijk om informatie in het systeem te benaderen of aan te passen. Ook kan de SAP-installatie worden uitgeschakeld. Het gaat hier echter om bekende problemen waar SAP in het verleden al voor heeft gewaarschuwd.
Veel bedrijven blijken de bekende configuratiefouten niet te hebben hersteld, zo claimt securitybedrijf Onapsis. Het bedrijf analyseerde honderden SAP-installaties bij klanten en schat dat zo'n 90 procent van de SAP-systemen verkeerd is geconfigureerd. Het probleem wordt vergroot doordat Geli de exploits beschikbaar heeft gemaakt waarmee de aanvallen zijn uit te voeren. De onderzoeker wil hiermee het risico van kwetsbaarheden aantonen en experts helpen bij het testen van SAP-systemen.
"We wijzen alleen op iets dat al verholpen is, maar klanten kunnen wat traag zijn. We proberen daar verandering in te brengen door te laten zien dat het belangrijk is en ze het moeten oplossen", aldus Geli. Volgens persbureau Reuters lopen tot 50.000 ondernemingen risico. Bedrijven krijgen dan ook het advies om de aanbevelingen uit de betreffende SAP Security Notes op te volgen (1, 2 en 3).
Dat was een goed leermoment voor ons wat betreft het bijhouden van ALLE software die binnen het netwerk gebruikt worden.
net zo'n 1 -2 tje als, SCADA systemen onveilig vanwege gebrek aan updates en security.
dit weten we al jaren,
zo lang er geen klanten zijn die het boeit, blijft het zo.
lees: het is het niet waard voor bedrijven om de boel te fixen.
als je dus als SAP/scada beveiliger aan de slag wilt, zal je eerst markt moeten creeren door de boel links en rechts te hacken
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
