La organización Onapsis en conjunto con SAP, presentó un reporte para un periodo de tiempo comprendido entre junio de 2020 a marzo de 2021 con información sobre los intentos de explotación dirigidos a sistemas SAP que no tienen actualizaciones aplicadas principalmente, las agencias Cybersecurity and Infrastructure Security Agency (CISA) y la Germany’s Federal Office for Information Security (BSI) han emitido alertas sobre estas vulnerabilidades.

Se recomienda a los clientes que utilicen entornos SAP que tomen medidas para la mitigación de los riesgos, sobre las vulnerabilidades de la plataforma que han sido documentadas con sus códigos de registro, en las bases de datos de vulnerabilidad según el estudio:

• CVE-2020-6287 – vulnerabilidad de preautenticacion explotable de forma remota.
• CVE-2020-6207 – vulnerabilidad de preautenticacion, que conduciría a la explotación de sistemas sin parches de seguridad.
• CVE-2018-2380 – permite a los atacantes escalar privilegios y ejecutar comandos del sistema operativo después de la explotación.
• CVE-2016-95 – los atacantes pueden desencadenar estados de denegación de servicio (DoS) y obtener acceso a información privilegiada o confidencial.

Según la alerta emitida por CISA las organizaciones que estén siendo afectadas por estos ataques puede experimentar situaciones como:

• Robo de datos sensibles
• Fraude financiero
• Interrupción de los procesos empresariales de misión crítica
• Implementación de Ransomware
• Cese de todas las operaciones

Se recomienda a los clientes que utilicen SAP en sus operaciones, tomen medidas para mitigar los riesgos en seguridad de la información, siguiendo lineamientos como:

• Realizar inmediatamente una evaluación de compromiso en aplicaciones SAP que todavía están expuestas a las vulnerabilidades o que no se han protegido rápidamente tras la publicación de las revisiones de seguridad de SAP relevantes, priorizando los sistemas SAP orientados a Internet
• Evaluar los entornos SAP buscando la existencia de usuarios de alto privilegio mal configurados y/o no autorizados
• Si los entornos SAP evaluados están expuestos actualmente y las actualizaciones no se pueden aplicar de manera oportuna, se deben implementar controles compensadores, así como supervisar la actividad en SAP para detectar cualquier actividad inusual la cual podría ser una amenaza potencial hasta que se implementen las actualizaciones correspondientes.

Fuentes:

1.SERGIU GATLAN, 2021, Ongoing attacks are targeting unsecured mission-critical SAP apps, 06/04/2021, disponible en: Ongoing attacks are targeting unsecured mission-critical SAP apps (bleepingcomputer.com)

2.Charlie Osborne , 2021, SAP issues advisory on the exploit of old vulnerabilities to target enterprise applications 06/04/2021, disponible en:  SAP issues advisory on the exploit of old vulnerabilities to target enterprise applications | ZDNet

3.Cybersecurity and Infrastructure Security Agency, 2021, Malicious Cyber Activity Targeting Critical SAP Applications, 06/04/2021, Disponible en:  Malicious Cyber Activity Targeting Critical SAP Applications | CISA

4.Onapsis, 2021, ACTIVE CYBERATTACKS ON MISSION-CRITICAL SAP APPLICATIONS, 06/04/2021, Disponible en: Active Cyberattacks on Mission-Critical SAP Applications | Onapsis