Vendor perangkat lunak perusahaan SAP telah merilis pembaruan keamanan April 2023 untuk beberapa produknya, yang mencakup perbaikan untuk dua kerentanan tingkat keparahan kritis yang memengaruhi Agen Diagnostik SAP dan SAP BusinessObjects Business Intelligence Platform.
Secara total, SAP telah merilis 24 catatan, 19 di antaranya menyangkut isu-isu baru dengan kepentingan yang berbeda-beda, dan lima pembaruan buletin sebelumnya.
Tiga masalah paling kritis yang diperbaiki kali ini adalah:
- CVE-2023-27267: Validasi masukan yang tidak memadai dan masalah autentikasi yang hilang berdampak pada Jembatan Perintah OS dari Agen Diagnostik SAP, versi 720, memungkinkan penyerang untuk mengeksekusi skrip pada agen yang terhubung dan membahayakan sistem sepenuhnya. (skor CVSS v3.1: 9.0)
- CVE-2023-28765: Kerentanan pengungkapan informasi yang berdampak pada SAP BusinessObjects Business Intelligence Platform (Promotion Management), versi 420 dan 430, memungkinkan penyerang dengan hak istimewa dasar untuk mendapatkan akses ke file lcmbiar dan mendekripsinya. Ini akan memungkinkan penyerang untuk mengakses kata sandi pengguna platform dan mengambil alih akun mereka untuk melakukan tindakan jahat tambahan. (skor CVSS v3.1: 9.8)
- CVE-2023-29186: Cacat traversal direktori berdampak pada SAP NetWeaver versi 707, 737, 747, dan 757, memungkinkan penyerang untuk mengunggah dan menimpa file di server SAP yang rentan. (skor CVSS v3.1: 8.7)
11 kelemahan keamanan yang tersisa diungkapkan di Buletin keamanan terbaru SAP memperhatikan kerentanan dengan tingkat keparahan rendah hingga sedang.
Meskipun masalah seperti itu umumnya tidak dianggap sebagai prioritas untuk ditambal, namun tetap saja dimanfaatkan dalam seranganterutama sebagai bagian dari rantai serangan yang kompleks, jadi mereka tetap harus diurus.
Penambalan cepat itu penting
Peretas selalu mencari kelemahan kritis-keparahan dalam produk yang digunakan secara luas seperti SAP, yang biasa terjadi di jaringan perusahaan besar.
SAP adalah vendor ERP terbesar di dunia, memiliki 24% pangsa pasar global dengan 425.000 pelanggan di 180 negara. Lebih dari 90% Forbes Global 2000 menggunakan produk ERP, SCM, PLM, dan CRM-nya.
Pada Februari 2022, Badan Keamanan Siber dan Infrastruktur AS (CISA) mendesak admin untuk menambal serangkaian kerentanan parah yang berdampak pada aplikasi bisnis SAP untuk mencegah pencurian data, serangan ransomware, dan gangguan proses dan operasi yang sangat penting.
Pada April 2021, pelaku ancaman adalah diamati menyerang memperbaiki kekurangan dalam sistem SAP yang belum ditambal untuk mendapatkan akses ke jaringan perusahaan.
Oleh karena itu, sangat penting bagi administrator sistem SAP untuk menerapkan tambalan keamanan yang tersedia sesegera mungkin.
