Hầu hết các bản cài đặt SAP đều có thể bị hack

08:45 | 12/05/2015 | LỖ HỔNG ATTT

Các nhà nghiên cứu cho biết, có tới 95% số bản cài đặt SAP của các doanh nghiệp có chứa các lỗ hổng bảo mật nghiêm trọng.

Theo công ty bảo mật Onapsis (đơn vị chuyên cung cấp các công cụ an ninh cho SAP), tin tặc có thể tấn công các bản cài đặt SAP để thực thi các lệnh quản trị và tạo ra các cửa hậu J2EE. Mariano Nunez, tổng giám đốc của Onapsis, nói rằng 250 nghìn khách hàng của SAP đang chịu ảnh hưởng của những lỗ hổng bảo mật có tuổi đời trung bình 18 tháng, trong đó thời gian để SAP phát triển các bản vá là 12 tháng.

Ông phát biểu rằng “Bảo mật của SAP không theo kịp các vụ tấn công xảy ra ở các công ty phần lớn là do có khoảng trống trách nhiệm giữa đội vận hành và đội bảo mật SAP” và "Thực tế là phần lớn các bản vá không liên quan đến bảo mật, thường bị chậm hay tạo ra những rủi ro tác nghiệp mới". Nunez cho rằng phần lớn vấn đề liên quan đến SAP HANA, sản phẩm khiến cho số bản vá bảo mật tăng tới 450%.

Có tới 4 lỗ hổng trong SAP SQL Anywhere được xếp loại 9,5 (trên thang 10) về độ nghiêm trọng, theo sau chúng là 18 lỗ hổng trong Sybase ESP được xếp ở mức 7,5. Alexander Polyakov, nhà sáng lập công ty ERPScan, nói rằng "Chúng tôi không chỉ nói về số lỗ hổng bảo mật, con số này khá lớn, mà còn là độ nghiêm trọng của chúng". Ông cho biết cổng hỗ trợ khách hàng của SAP thể hiện 388 bản vá nhỏ được gọi là “security notes” được phát hành năm ngoái (tăng 7% kể từ năm 2013).

Vấn đề có thể còn tồi tệ hơn vì các lỗ hổng thường phát sinh thêm trong quá trình tùy biến các bản cài đặt SAP. "Nếu các lập trình viên có kinh nghiệm của SAP còn để sót nhiều lỗi trong mã nguồn thì hãy tưởng tượng xem điều gì đang xảy ra với các chương trình được tùy biến, (đặc biệt) là những thứ được thuê ngoài. Cạnh tranh cao độ giữa các công ty thuê ngoài khiến họ giảm thiểu thời gian và nguồn lực phát triển, điều thường ảnh hưởng tới bảo mật" - ông nói. Polyakov đã phát hành các sách trắng (whitepaper) giới thiệu chi tiết về các lỗ hổng thường gặp của SAP, các hướng dẫn kiểm thử xâm nhập (penetration testing) và các biện pháp phòng thủ.

‹ › ×

Tin cùng chuyên mục

Hacker đe dọa làm lộ cơ sở dữ liệu nhạy cảm của World-Check

10:00 | 17/05/2024

Một hacker bị cáo buộc đã đánh cắp cơ sở dữ liệu quan trọng do Tập đoàn giao dịch chứng khoán Luân Đôn (LSEG) duy trì có chứa thông tin về những kẻ khủng bố, tội phạm tiềm năng và các cá nhân có nguy cơ cao hiện đang bị đe dọa rò rỉ hàng loạt dữ liệu nhạy cảm.

Cảnh báo nhiều lỗ hổng bảo mật thông tin cá nhân trong thời đại chuyển đổi số

10:00 | 13/05/2024

Trong thời đại công nghệ số hiện nay, lỗ hổng bảo mật là một trong những nguyên nhân hàng đầu dẫn đến các cuộc tấn công mạng. Do đó, việc nâng cao hiểu biết và nhận thức về các mối đe dọa mạng ngày càng cần thiết. Việt Nam là một trong những quốc gia có tốc độ phát triển và ứng dụng Internet cao thế giới, thế nhưng vấn đề bảo vệ dữ liệu cá nhân vẫn còn gặp nhiều bất cập trong xu thế toàn cầu hóa về chuyển đổi số. Bài báo sẽ thông tin tới độc giả thực trạng mối đe dọa về lỗ hổng bảo mật; một số lỗ hổng phổ biến; phương thức, thủ đoạn khai thác, nguyên nhân xuất hiện lỗ hổng bảo mật, từ đó đưa ra những giải pháp phòng chống và ngăn chặn.

Lỗ hổng trên DeFi trên Curve Finance được trao thưởng lên tới 250.000 USD

09:00 | 17/04/2024

Một nhà nghiên cứu bảo mật có biệt danh Marco Croc từ Kupia Security đã được thưởng 250,000 USD vì phát hiện ra một lỗ hổng mà trong lịch sử đã cho phép tin tặc rút hàng triệu USD từ các giao thức tiền điện tử. Lỗ hổng này tái xuất hiện trong giao thức tài chính phi tập trung (DeFi) Curve Finance.

Tin tặc Mustang Panda nhắm mục tiêu vào các quốc gia châu Á với biến thể mới của PlugX

09:00 | 06/03/2024

Tác nhân đe dọa liên quan đến Trung Quốc có tên là Mustang Panda đã nhắm mục tiêu vào nhiều quốc gia châu Á bằng cách sử dụng một biến thể mới của backdoor PlugX có tên là DOPLUGS.