SAP a publié son package de correctifs de sécurité pour août 2024, corrigeant 17 vulnérabilités, y compris un contournement d’authentification critique qui pourrait permettre aux attaquants distants de compromettre complètement le système.
La faille, identifiée comme CVE-2024-41730 et notée 9,8 selon le système CVSS v3.1, est un bogue de « vérification d’authentification manquante » affectant les versions 430 et 440 de la plateforme SAP BusinessObjects Business Intelligence et est exploitable sous certaines conditions.
« Dans SAP BusinessObjects Business Intelligence Platform, si la connexion unique est activée lors de l’authentification d’entreprise, un utilisateur non autorisé peut obtenir un jeton d’ouverture de session à l’aide d’un point de terminaison REST », indique la description de la faille par le fournisseur.
« L’attaquant peut compromettre complètement le système, ce qui a un impact important sur la confidentialité, l’intégrité et la disponibilité. »
La deuxième vulnérabilité critique (score CVSS v3.1: 9,1) corrigée cette fois est CVE-2024-29415, une faille de falsification de requêtes côté serveur dans les applications créées avec des applications SAP Build antérieures à la version 4.11.130.
La faille concerne une faiblesse dans le package ‘ IP ‘ pour le nœud.js, qui vérifie si une adresse IP est publique ou privée. Lorsque la représentation octale est utilisée, elle reconnaît faussement ‘127.0.0.1’ comme une adresse publique et globalement routable.
Cette faille existe en raison d’un correctif incomplet pour un problème similaire suivi sous le nom de CVE-2023-42282, qui a rendu certains cas vulnérables aux attaques.
Parmi les correctifs restants répertoriés dans le bulletin de SAP pour ce mois-ci, les quatre qui sont classés dans la catégorie « gravité élevée » (score CVSS v3. 1: 7,4 à 8,2) sont résumés comme suit:
- CVE-2024-42374 – Problème d’injection XML dans le service Web d’exportation d’exécution Java Web SAP BEx. Cela affecte les versions BIBA VOIR 7.5, BI-BASE-B 7.5, BIIBC 7.5, BI-BASE-S 7.5 et BIWEBAPP 7.5.
- CVE-2023-30533 – Faille liée à la pollution des prototypes dans SAP S / 4 HANA, en particulier dans le module de gestion de la protection de l’approvisionnement, affectant les versions de bibliothèque de SheetJS CE inférieures à 0.19.3.
- CVE-2024-34688 – Vulnérabilité de déni de service (DOS) dans SAP NetWeaver EN Java, affectant spécifiquement la version du composant de référentiel de méta-modèle MMR_SERVER 7.5.
- CVE-2024-33003 – Vulnérabilité liée à un problème de divulgation d’informations dans SAP Commerce Cloud, affectant les versions HY_COM 1808, 1811, 1905, 2005, 2105, 2011, 2205, et COM_CLOUD 2211.
Appliquez les mises à jour maintenant
SAP étant le plus grand fournisseur d’ERP au monde et ses produits utilisés dans plus de 90% de la liste Forbes Global 2000, les pirates sont toujours à la recherche de failles de contournement d’authentification critiques qui pourraient leur permettre d’accéder à des réseaux d’entreprise très précieux.
En février 2022, la Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis a exhorté les administrateurs à corriger plusieurs vulnérabilités dans les applications métier SAP afin d’éviter le vol de données, les ransomwares et les perturbations des opérations critiques.
Les auteurs de menaces ont exploité des systèmes SAP non corrigés entre juin 2020 et mars 2021 pour infiltrer les réseaux d’entreprise dans au moins 300 cas.