Più di 40.000 installazioni SAP a rischio? È davvero così?
Di cosa si tratta? Una vulnerabilità SAP nota? Cosa devi controllare?
Da chi arriva la notizia?
Una grande risonanza la pubblicazione da parte di Onapsis, società specializzata nella ricerca di vulnerabilità dei software ERP(non solo SAP) produttrice inoltre di software (Onapsis Security Platform) per controllare la security dei sistemi ERP (vulnerabilità, patching, configurazioni non corrette) compresi i sistemi SAP.
Anche in questo caso, dopo 10KBLAZE, ancora Onapsis è la società scopritrice di questa vulnerabilità.
Di cosa si tratta questa volta?
Questa vulnerabilità far riferimento al componente SAP NetWeaver Java versioni dalla 7.30 alla 7.50, quindi molto recenti.
Sono diversi i sistemi SAP che potrebbero avere installato questo pacchetto:
- SAP Enterprise Resource Planning (ERP) ECC ed S/4HANA
- SAP Supply Chain Management (SCM)
- SAP CRM (Java Stack)
- SAP Enterprise Portal
- SAP HR Portal
- SAP Solution Manager (SolMan) 7.2
- SAP Landscape Management (SAP LaMa)
- SAP Process Integration/Orchestration (SAP PI/PO)
- SAP Supplier Relationship Management (SRM)
- SAP NetWeaver Mobile Infrastructure (MI)
- SAP NetWeaver Development Infrastructure (NWDI)
- SAP NetWeaver Composition Environment (CE)
Di particolare attenzione il SAP Solution Manager (SolMan), presente di fatto in tutte le installazioni SAP.
Particolarmente critico diventa in questo caso il SAP Solution Manager in quanto per sua natura è collegato ad altri prodotti SAP presenti nel landscape.
Cosa puoi verificare?
La SAP tramite la nota OSS "2934135 - [CVE-2020-6287] Multiple Vulnerabilities in SAP NetWeaver AS JAVA (LM Configuration Wizard)" ha pubblicato la patch per il problema rilevato di gravità elavata, CVSS pari a 10.0
Nella stessa nota viene riportato come eventualmente disabilitare il componente oggetto del problema, tramite il dettaglio fornitori in OSS "2939665 - Disable/Enable LM Configuration Wizard | Critical API's in LM Configuration Wizard".
Infine nella "OSS note 2947895 - RECON - SAP Vulnerability" sono riepilogate le attività da svolgere.
Applica subito le patch pubblicate da SAP se nel tuo landscape dei sistemi SAP sono presenti i componenti sopra. Verifica tramite questo strumento rilasciato da Onapsis se i tuoi sistemi sono esposti a questa vulnerabilità.
