SAP HANA漏洞及修复建议

SAP
HANA漏洞及修复建议

 

http://mp.weixin.qq.com/s/ylYT2KGS3YZCGRYXUf_IQw

 

近期,中国国家信息安全漏洞共享平台(CNVD)收录了SAP云商务平台HANA系统存在多个漏洞中的两个关键漏洞:HANA自助服务身份认证漏洞与会话固定(Session Fixation)漏洞(CNVD-2017-02799、CNVD-2017-02802)。利用这些漏洞,外部或内部攻击者未经任何身份认证就能够冒用其他用户甚至是高权限用户身份,远程控制SAP
HANA平台,使得平台上承载的企业和组织信息和业务安全可能面临严重威胁。

 

一、漏洞情况分析

SAP HANA(High-Performance
Analytic Appliance)是一个软硬件结合体的内存数据库,大量应用于实时业务数据的查询和分析。根据国外安全公司Onapsis
Research Labs的报告,其发现SAP云商务平台HANA中存在27个漏洞,其中有两个关键漏洞:

(一)SAP
HANA自助服务工具身份认证漏洞。该工具允许用户激活一些额外的功能,如修改密码、密码重置、用户自注册等功能,但却存在身份认证漏洞,攻击者不需要经过任何验证,可利用漏洞通过HANA的用户自助服务元件入侵整个系统。

(二)SAPHANA自助服务存在会话固定漏洞(Session Fixation)。外部或内部攻击者未经任何身份认证就能够使用其他用户甚至是高权限用户会话权限,在不需要用户名和密码的情况下修改、窃取或删除敏感资料。

CNVD对上述漏洞的技术评级为“高危”。

 

二、漏洞影响范围

漏洞影响SAP HANA2及以往旧版本,包括SAP
HANA SPS09等。根据CNVD秘书处普查结果,互联网上共有约2.4万台标记为SAP HANA云商务平台的主机IP,其中排名前五的国家和地区分别是美国(占比35.7%)、韩国(10.8%)、德国(10.1%)、中国大陆地区(6.9%)以及印度(3.0%)。

 

影响的HANA 2 和 HANA 版本包括:

SAP HANA SPS 12 (newDB rel 1.00.121.00.1466466057)

SAP HANA 2 SPS0 (newDB rel 2.00.000.00.1479874437)

SAP HANA SPS11 (1.00.110.144775). Released in November 2015

SAP HANA SPS10 (1.00.101.00.1435831848). Released in June 2015

SAP HANA SPS09 (1.00.91.1418659308). Released in November 2014.

 

三、漏洞修复建议

CNVD提醒用户及时的更新系统到官方最新版本。运行老旧的系统或不当的配置都会影响SAP HANA业务系统的安全性,增加数据丢失的风险。也可以通过以下临时解决方案:禁用用户自助服务,或添加网络边界设备访问控制措施。

 

相关的安全NOTE:

SAP Security Note: #2424173

SAP Security Note: #2429069

 

 

 

 

时间: 2024-09-15 21:42:28

SAP HANA漏洞及修复建议的相关文章

IIS中Http.sys处理Range整数溢出漏洞及修复建议

 一.漏洞概要 2015年04月14日,微软发布严重级别的安全公告 MS15-034,编号为 CVE-2015-1635,据称在 Http.sys  中的漏洞可能允许远程执行代码.      漏洞描述 Http.sys 是一个位于 Windows 操作系统核心组件,能够让任何应用程序通过它提供的接口,以 Http 协议进行信息通讯.微软在 Windows 2003 Server 里引进了新的 HTTP API 和内核模式驱动 Http.sys,目的是使基于 Http 服务的程序更有效率.其实在

SAP HANA系统曝安全漏洞,静态密钥存在数据库里

SAP知名内存数据库管理系统HANA被曝存在安全漏洞,其静态加密密钥居然存放在数据库中.SAP HANA是SAP有史以来发展最快的产品. 漏洞概述 ERPScan的研究人员在阿姆斯特丹举行的黑帽大会上展示了这个漏洞.这个团队最近还公布了Oracle的PeopleSoft中的配置漏洞. 加密密钥是静态的,也就是说所有的SAP HANA默认安装后使用的是相同的key--攻击者如果可以读取这个key也就可以攻击多个系统. ERPScan的首席技术官Alexander Polyakov称,攻击者可以有多

360向存在该漏洞的网站发送报警邮件及修复建议

4月13日消息,日前乌云漏洞报告平台爆料称,ThinkPHP框架存在"URI取值任意代码执行"漏洞(详情),黑客可借此在网站上执行任意PHP代码,甚至获取服务器管理员权限,同在此服务器上的其他网站也可能受到牵连.对此,360网站安全检测平台第一时间加入检测规则,并向存在该漏洞的网站发送了报警邮件及修复建议. 360网站安全检测平台服务网址 ThinkPHP是一款拥有6年历史的优秀开源PHP框架,自2006年诞生以来,应用者逐渐遍及电子商务.教育培训.金融.政府等多个领域,包括大型门户网

win7系统漏洞需要修复吗?

      win7系统漏洞需要修复吗?          解决方法1: 1.如果你的电脑都是正版的微软系统,如家庭普通版,那么在购买电脑的第一天你也许就会看得到很多的漏洞,忙着修复.这里需要注意,看清漏洞在修复; 2.360安全卫士提示漏洞是尽量不要进行漏洞的更新,最好要将其忽略,否则你的电脑会变得越来越卡; 3.原因很简单,这些安全卫士在运行的时候发现与自身软件有冲突的地方就会提示有漏洞,然后进行所谓的系统更新.这样做只会使得电脑本身良好的运行环境和兼容性发生变化; 5.关闭漏洞修复功能,这

SAP HANA Express Edition (HXE)-二进制安装使用步骤

点击这里了解SAP HANA Express Edition是什么? 一.注册并获取安装程序下载工具 1. 点击链接http://go.sap.com/developer/topics/sap-hana-express.html 选择第一项,进行注册. 选择国家,输入邮件地址,勾选相应选项,点击注册. 根据本机操作系统,选择相应的链接(Mac选择第三项) 开始下载 HXEDownloadManager 工具 二.下载SAP HANA Express Edition程序文件 1. 运行 HXEDo

企业安全之企业常见服务漏洞检测&修复整理

1.内核级别漏洞 Dirty COW脏牛漏洞,Linux 内核内存子系统的 COW 机制在处理内存写入时存在竞争,导致只读内存页可能被篡改. 影响范围:Linux kernel >= 2.6.22 漏洞影响:低权限用户可以利用该漏洞写入对自身只读的内存页(包括可写文件系统上对该用户只读的文件)并提权至 root PoC参考: https://github.com/dirtycow/dirtycow.github.io/wiki/PoCs 漏洞详情&修复参考: http://sanwen8.c

后门还是漏洞?海康威视建议你尽快升级固件

本文讲的是后门还是漏洞?海康威视建议你尽快升级固件, 近日,海康威视又对外宣布,他们已对其某款摄像头的后门漏洞进行了修补,以防止黑客实施远程攻击来对获得受影响的设备最高管理权限,这个漏洞和2014年的那个漏洞一模一样. 早在2014年,其安防监控录像机就被曝出有远程代码执行漏洞,黑客可以由此直接获取设备最高权限,而且其产品还存在root弱口令和web后台弱口令. 根据调查,此次的后门漏洞是由两方面的原因引起的: 1.错误的身份验证漏洞,允许已通过身份验证的远程用户执行任意操作. 2.配置文件的信

SAP HANA Express Edition (HXE)-虚拟机模板安装使用步骤

点击这里了解SAP HANA Express Edition是什么?一.注册并获取安装程序下载工具 1. 点击链接http://go.sap.com/developer/topics/sap-hana-express.html 选择第一项,进行注册. 选择国家,输入邮件地址,勾选相应选项,点击注册. 根据本机操作系统,选择相应的链接(Mac选择第三项) 开始下载 HXEDownloadManager 工具 二.下载SAP HANA Express Edition程序文件 1. 运行 HXEDow

《SAP HANA平台应用开发》—第2章2.4节用户、角色和授权管理

2.4 用户.角色和授权管理 在2.2.节及之前的一些操作演示中,使用的都是SYSTEM这个SAP HANA默认的系统管理员账户.通常,SYSTEM用户只在做系统管理时使用,日常的应用层面的数据库技术支持还是建议使用单独的新用户来执行.在SAP HANA系统中,通常有以下5类用户: 系统用户:对整个HANA系统进行系统级别的配置和管理的用户.例如,SYSTEM用户就是其中之一.数据复制和备份恢复也建议创建单独的用户. 开发和应用支持用户:在HANA中创建数据库表,加载数据,创建信息模型.存储过程