Schwerwiegende Schwachstellen in SAP-Software

Der Cybersecurity-Berater Sec Consult hat ein neues Whitepaper zu kritischen Sicherheitslücken im Softwareökosystem von SAP veröffentlicht. In einer Mitteilung, die zusammen mit dem Whitepaper veröffentlicht wurde, spricht Sec Consult von "erschreckenden" Schwachstellen im RFC-Protokoll (Remote Function Call). Dieses dient seit Jahrzehnten als eine Standard-Schnittstelle zwischen Anwendungen im SAP-Umfeld. Durch die steigende Vernetzung habe das RFC-Protokoll in den vergangenen Jahren immer mehr an Bedeutung gefunden, und diene zum Aufrufen von Funktionen innerhalb und ausserhalb der SAP-Landschaft, schreibt Sec Consult. Somit stellt die Schwachstelle eine kritische Lücke in der Systemsicherheit dar.

Das Vulnerability Lab von Sec Consult entdeckte die Schwachstellen im RFC-Protokoll laut Mitteilung vor rund zwei Jahren. Dadurch könne bei einer Umgehung der serverseitigen Authentifizierung in IT-Systeme eingebrochen und Server komplett übernommen werden. Zu den betroffenen SAP-Systemen zählen unter anderem SAP S/4HANA, SAP Business Warehouse (BW), SAP Solutions Manager (SolMan), SAP for Oil & Gas (IS Oil&Gas), SAP for Utilities (IS-U), SAP Supplier Relations Management (SRM), SAP Human Capital Management (HCM), SAP Employee Central Payroll (ECP) und SAP ERP Central Component (ECC).

SAP habe in der Zwischenzeit mit Sec Consult die Sicherheitsmechanismen angepasst und nötige Patches zur Verfügung gestellt. So gingen schon im März 2023 erste Warnungen an zahlreiche SAP-nutzende Unternehmen. Jedoch weist Johannes Greil, Leiter des Vulnerability Labs von Sec Consult, darauf hin, dass es mit dem Installieren der Patches nicht getan sei - eine fachgerechte Rekonfiguration der Systeme gemäss Herstellerangaben ist ebenfalls notwendig. Das Whitepaper diene unter anderem dabei als praxisnahe Erklärung, welche Patches, Konfigurationsänderungen und Systemanpassungen notwendig sind, um die betroffenen Systeme wieder abzusichern. 

Übrigens: In Fortinets Network-Access-Control-Tool NAC-Tool Fortinac klaffen derzeit ebenfalls zwei kritische Sicherheitslücken. Mehr erfahren Sie hier. 

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.