Hầu hết các bản cài đặt SAP đều có thể bị hack

08:45 | 12/05/2015 | LỖ HỔNG ATTT

Các nhà nghiên cứu cho biết, có tới 95% số bản cài đặt SAP của các doanh nghiệp có chứa các lỗ hổng bảo mật nghiêm trọng.

Theo công ty bảo mật Onapsis (đơn vị chuyên cung cấp các công cụ an ninh cho SAP), tin tặc có thể tấn công các bản cài đặt SAP để thực thi các lệnh quản trị và tạo ra các cửa hậu J2EE. Mariano Nunez, tổng giám đốc của Onapsis, nói rằng 250 nghìn khách hàng của SAP đang chịu ảnh hưởng của những lỗ hổng bảo mật có tuổi đời trung bình 18 tháng, trong đó thời gian để SAP phát triển các bản vá là 12 tháng.

Ông phát biểu rằng “Bảo mật của SAP không theo kịp các vụ tấn công xảy ra ở các công ty phần lớn là do có khoảng trống trách nhiệm giữa đội vận hành và đội bảo mật SAP” và "Thực tế là phần lớn các bản vá không liên quan đến bảo mật, thường bị chậm hay tạo ra những rủi ro tác nghiệp mới". Nunez cho rằng phần lớn vấn đề liên quan đến SAP HANA, sản phẩm khiến cho số bản vá bảo mật tăng tới 450%.

Có tới 4 lỗ hổng trong SAP SQL Anywhere được xếp loại 9,5 (trên thang 10) về độ nghiêm trọng, theo sau chúng là 18 lỗ hổng trong Sybase ESP được xếp ở mức 7,5. Alexander Polyakov, nhà sáng lập công ty ERPScan, nói rằng "Chúng tôi không chỉ nói về số lỗ hổng bảo mật, con số này khá lớn, mà còn là độ nghiêm trọng của chúng". Ông cho biết cổng hỗ trợ khách hàng của SAP thể hiện 388 bản vá nhỏ được gọi là “security notes” được phát hành năm ngoái (tăng 7% kể từ năm 2013).

Vấn đề có thể còn tồi tệ hơn vì các lỗ hổng thường phát sinh thêm trong quá trình tùy biến các bản cài đặt SAP. "Nếu các lập trình viên có kinh nghiệm của SAP còn để sót nhiều lỗi trong mã nguồn thì hãy tưởng tượng xem điều gì đang xảy ra với các chương trình được tùy biến, (đặc biệt) là những thứ được thuê ngoài. Cạnh tranh cao độ giữa các công ty thuê ngoài khiến họ giảm thiểu thời gian và nguồn lực phát triển, điều thường ảnh hưởng tới bảo mật" - ông nói. Polyakov đã phát hành các sách trắng (whitepaper) giới thiệu chi tiết về các lỗ hổng thường gặp của SAP, các hướng dẫn kiểm thử xâm nhập (penetration testing) và các biện pháp phòng thủ.

‹ › ×

Tin cùng chuyên mục

Kho lưu trữ Internet Archive bị tấn công làm lộ dữ liệu 31 triệu người dùng

10:00 | 27/10/2024

Kho lưu trữ Internet Archive, nơi lưu giữ lịch sử toàn bộ Internet, xác nhận họ đã bị tấn công, làm lộ dữ liệu của 31 triệu người dùng. Ngay cả những tổ chức uy tín nhất cũng không miễn nhiễm với các cuộc tấn công mạng tinh vi.

Người lái xe tại Úc bị theo dõi và bán dữ liệu

07:00 | 21/10/2024

Một nghiên cứu mới đây cho thấy 7 nhãn hiệu ô tô hàng đầu tại Úc đang thu thập và bán dữ liệu về người lái, gây lo ngại về quyền riêng tư. Đặc biệt, Hyundai và Kia bị cáo buộc bán dữ liệu nhận dạng giọng nói cho bên thứ ba để huấn luyện AI.

Công ty sản xuất vàng Evolution Mining bị tấn công mạng

16:00 | 19/08/2024

Công ty sản xuất vàng Evolution Mining, một trong những nhà sản xuất vàng lớn nhất của Úc (cũng có mặt tại Canada) đã thông báo rằng, công ty bị tấn công bằng mã độc tống tiền vào ngày 08/8. Vụ tấn công đã gây ảnh hưởng nghiêm trọng đến hệ thống công nghệ thông tin của công ty.

Cảnh sát Tây Ban Nha bắt giữ các tin tặc tình nghi tấn công các nước NATO

15:00 | 26/07/2024

Ngày 20/7, cảnh sát Tây Ban Nha thông báo đã bắt giữ ba tin tặc được cho là thực hiện vụ tấn công mạng nhằm vào Tây Ban Nha và các nước thành viên khác trong Tổ chức Hiệp ước Bắc Đại Tây Dương (NATO) với các mục đích khủng bố.