SAP产品存在4个严重漏洞，其中1个位于ABAP内核中

本周，德国举行网络安全会议，发布了位于 SAP 公司 NetWeaver Application Server ABAP 和ABAP 平台 (AS ABAP) 所有发布和版本中，服务器端 RFC 实现通信接口中的四个严重漏洞的详情和 PoC 代码。

ABAP 内核至少受一个漏洞影响

这些漏洞可使攻击者在受影响系统上远程执行任意代码、访问敏感数据、横向移动到同样网络上的其它 SAP 系统中，并执行其它恶意行为。至少有一个漏洞位于 ABAP 内核中，说明大量 SAP 产品受影响。

SEC Consult 提醒客户称，“远程未认证攻击者可能利用已识别的问题完全控制易受攻击的应用服务器，可能导致数据的机密性、完整性和可用性遭完全攻陷。” 两年来，SEC Consult 公司的研究员发现并将这些漏洞告知SAP公司。他们在2020年年底发现了第一个漏洞并在今年年初发现了最后一个漏洞。SAP 公司收到报告后很快发布补丁。不过，SEC Consult 目前才发布技术详情，以确保SAP有足够多的时间修复这些问题。

SEC Consult 公司漏洞实验室主任 Johannes Greil 表示，“由于 ABAP 内核受影响，因此所识别出的漏洞影响很多不同的 SAP 产品。我们需要做很多工作来缓解并测试/验证所有这些产品的修复方案。”

他认为，目前这些漏洞的技术详情和PoC已发布，威胁行动者拥有了构建目标攻击所需的信息。未修复系统可能为组织机构带来风险。Greil 表示，“我们的建议是，如果还没这样做的话，是立即执行补丁和必要的配置变化，因为这些漏洞存在严重风险。鉴于巨大的业务风险，我们已经在2023年3月告知客户并督促他们进行修复。”

四个漏洞的详情

SEC Consult 发现并报告给SAP的四个漏洞是CVE-2021-27610、CVE-2021-33677、CVE-2021-33684和CVE-2023-0014。

CVE-2021-27610是位于 AS ABAP 中的认证绕过漏洞，可使攻击者在受影响提供上提升权限。该漏洞使攻击者建立与易受攻击系统的通信并复用被泄露的凭据模拟用户账户并获取一个可信身份。成功利用可导致系统遭完全攻陷。

SEC Consult 公司指出，CVE-2021-33677 是位于 AutoABAP/bgRFC 接口中的信息泄露漏洞，可导致攻击者远程枚举用户账户并使易受攻击服务执行面对目标主机和端口的特定请求。CVE-2021-33684是一个内存损坏漏洞，可被攻击者用于远程破坏进程、获得远程代码执行权限并损坏数据。CVE-2023-0014是SEC Consult 最近向SAP报告的设计问题，可使攻击者在 SAP 系统环境中横向移动。

Greil 表示，多数漏洞是严重级别，尤其是CVE-2023-0014和CVE-2021-27610。结合利用这两个漏洞可轻松实现横向移动。Greil 表示，“2023年发现的漏洞尤为重要，因为需要额外的配置变更，因此打补丁耗费更多精力。”他提到，由于SAP技术栈和命名规则不同于一般的IT安全协议，因此需要对SAP具有更深入的理解，“缓冲溢出漏洞也具有较高风险，因为它无需验证即可遭滥用。但我们尚未验证远程代码执行漏洞。”

这些漏洞存在于大量业务关键的SAP产品中，如SAP ERP Central Component (ECC)、SAP S/4HANA、SAP Business Warehouse (BW)、SAP Solution Manager (SolMan)、SAP for Qil & Gas (IS Oil & Gas)、SAP for Utilities (IS-U) 以及 SAP Supplier Relationship Management (SRM)。