Lỗ hổng định danh CVE-2021-38178 (CVSS 9.1) có thể bị khai thác để vượt qua Quality gates và chuyển mã ABAP do tin tặc tự tạo nhắm vào các hệ thống sản xuất.
Lỗ hổng này cho phép tin tặc giả mạo các yêu cầu Transport (Transport Requests), vượt qua các Quality gate và chuyển các artifact sang hệ thống sản xuất.
Transport Requests được sử dụng để triển khai các sửa đổi trong toàn bộ dòng hệ thống SAP và những yêu cầu này được giả định là không thể sửa đổi sau khi được đưa ra. Do đó, nếu cần bất kỳ một thay đổi nào, một Transport Requests mới sẽ được tạo ra.
Tuy nhiên, SecurityBridge phát hiện ra rằng việc triển khai SAP tiêu chuẩn bao gồm một chương trình cho phép nhân viên với một cấp độ ủy quyền cụ thể có thể thay đổi các thuộc tính tiêu đề của các SAP Transport Requests.
Qua đó, tin tặc với đủ đặc quyền trong một hệ thống bị xâm nhập có khả năng tác động vào việc xuất các Transport Request với việc thay đổi trang thái phát hành từ "Released" thành "Modifiable" và nhập nó vào đơn vị sản xuất.
Một Transport Request có thể bị giả mạo sau khi đã vượt qua tất cả các Quality gate và tin tặc có thể thêm mã độc, thực thi sau khi xâm nhập vào hệ thống mục tiêu. Từ đó, dẫn đến các cuộc .
này ảnh hưởng tới tất cả môi trường SAP sử dụng Transport Directory ở các cấp độ khác nhau. Các tổ chức, doanh nghiệp nên cập nhật bản vá và kiểm tra các Transport Request trước khi nhập vào quy trình sản xuất.
M.H
10:00 | 03/08/2021
09:00 | 25/01/2022
11:00 | 14/02/2022
09:00 | 22/04/2022
08:00 | 18/04/2022
10:00 | 08/04/2022
18:00 | 22/07/2021
16:00 | 13/07/2021
16:00 | 09/10/2024
Mới đây, Microsoft đã phát hành bản vá Patch Tuesday tháng 10/2024 để giải quyết 118 lỗ hổng bảo mật, bao gồm 5 lỗ hổng zero-day, trong đó có 2 lỗ hổng đang bị khai thác tích cực trên thực tế.
13:00 | 09/10/2024
Điều này sẽ giúp người dùng dễ dàng kiểm tra xem hình ảnh và video hiển thị trong kết quả tìm kiếm có được tạo ra hoặc chỉnh sửa bằng AI hay không.
07:00 | 23/09/2024
Ngày 12/9, các cơ quan quản lý của Liên minh châu Âu cho biết, họ đang vào cuộc điều tra mô hình ngôn ngữ Pathways 2 (PaLM2) - một trong những mô hình trí tuệ nhân tạo của Google do lo ngại về việc tuân thủ các quy tắc bảo mật dữ liệu GDPR.
11:00 | 03/09/2024
Google chính thức giới thiệu hai tính năng Gemini mới cho Gmail, tích hợp trí tuệ nhân tạo (AI) để hỗ trợ người dùng viết và chỉnh sửa email, cải thiện hiệu suất và chất lượng công việc.
14:00 | 11/09/2024|Công nghệ PKI
11:00 | 03/09/2024|GP ATM
08:00 | 26/08/2024|GP ATM
10:00 | 19/08/2024|Tin tức sản phẩm
Báo cáo của Kaspersky về Bối cảnh an ninh mạng cho các hệ thống điều khiển công nghiệp (ICS) trong quý 2 năm 2024 cho thấy các cuộc tấn công bằng mã độc tống tiền tăng 20% so với quý trước. Báo cáo nhấn mạnh mối đe dọa ngày càng gia tăng đối với các lĩnh vực cơ sở hạ tầng quan trọng trên toàn thế giới, trong đó mã độc tống tiền (ransomware) và phần mềm gián điệp gây ra những rủi ro đáng kể nhất.
13:00 | 25/10/2024
