Falha de segurança afeta sistemas SAP Hana e pode atingir 10 mil usuários
Vulnerabilidades de segurança foram identificadas e afetam todas as versões de aplicações baseadas em SAP Hana, incluindo a SAP S/4Hana e SAP Cloud que rodam na plataforma Hana.
Quem identificou as brechas foi a empresa de segurança Onapsis, especializada em produtos SAP, a qual ressalta que a falha pode atingir cerca de 10 mil clientes que rodam diferentes versões do SAP Hana de diferentes setores da indústria, incluindo segmentos críticos como óleo e gás, farmacêutico e governos.
De acordo com a empresa, essa é a primeira vez em que liberam boletins que unem o maior número de vulnerabilidades em conjunto com o alto risco que elas representam para a segurança do sistema.
A companhia liberou 21 boletins de segurança, sendo que oito vulnerabilidades foram classificados como “críticas” e seis falhas “de alto risco”, que comprometem o sistema de forma que é preciso mudar algumas configurações para que os riscos sejam mitigados – de outra forma, cibercriminosos podem explorar a vulnerabilidade e conseguir controle total do sistema, podendo apagar, modificar ou roubar dados, bem como modificar processos de forma remota. Outras 7 vulnerabilidades foram classificadas como “risco mediano”.
Segundo especialistas da Onapsis, muitas das vulnerabilidades críticas estão relacionadas às principais interfaces do Hana TrexNet que orquestram a comunicação entre servidor em cenários de alta disponibilidade para apoiar as empresas de grande porte.
Recomendações
De acordo com especialistas da empresa, algumas das vulnerabilidades divugadas não podem ser corrigidas por meio de patches e o serviço Hana TrexNet não pode ser desligado. Dito isso, apenas a reconfiguração do sistema pode mitigar a brecha de segurança. Os administradores de sistema também devem seguir as recomendações liberadas no blog da empresa.
Para as outras falhas críticas, que não estão relacionadas ao protocolo TrexNet, elas devem ser aplicadas o quanto antes, seguindo os boletins de segurança liberados pela SAP para as vulnerabilidades 2165583, 2148854, 2175928, 2197397 e 2197428.