50mila aziende che adottano soluzioni SAP non correttamente configurate potrebbero essere esposte ad attacchi informatici grazie a diversi exploit denominati “10KBLAZE”.
Ad affermarlo è il team di cybersecurity Onapsis Research Labs, il quale tiene a precisare che il problema non risiede nel codice SAP bensì ad un’errata configurazione del sistema da parte delle aziende che adottano SAP NetWeaver e S/4HANA.
La società tedesca SAP SE aveva già fornito nel 2005 (nr 821875), 2009 (nr 1408081) e 2010 (nr 1421005) delle note di sicurezza per una corretta configurazione dei sistemi gestionali. Ma secondo la ricerca effettuata dalla Onapsis, ben il 90% dei sistemi SAP installati non sono stati adeguatamente protetti.
Stando a quanto dichiarato dal team di ricerca, circa 900.000 sistemi sono affetti da queste errate configurazioni. Gli exploit possono compromettere totalmente la piattaforma e portare alla completa cancellazione di tutti i dati presenti nelle applicazioni aziendali, inclusa la modifica o il prelievo di informazioni altamente sensibili.
L’exploit “10KBLAZE” può essere eseguito da remoto anche senza autenticazione con il semplice accesso di rete al sistema e il rischio per le aziende possono essere davvero catastrofici.
Possono essere creati nuovi utenti nel sistema SAP con alti privilegio e consentirgli la visualizzazione e modificazione dei dati aziendali critici come ad esempio
- informazioni personali dei dipendenti
- rendiconti finanziari
- trasferimenti bancari
Inoltre gli hacker potrebbero anche sfruttare “10KBLAZE” per ottenere l’accesso completo ai database portando i sistemi SAP offline eliminando in maniera permanente tutti i dati presenti.
Come ho già evidenziato in precedenza, tutti i sistemi SAP NetWeaver Application Server (AS) e S/4HANA sono vulnerabili agli attacchi se configurati in modo errato in quanto sia Message Server che Gateway esistono in ogni ambiente SAP.
Le applicazioni interessate ad un possibile attacco informatico sono:
- S/4HANA
- Enterprise Resource Planning (ERP)
- Product Lifecycle Management (PLM)
- AP Customer Relationship Management (CRM)
- Human Capital Management (HCM)
- Supply Chain Management (SCM)
- Supplier Relationship Management (SRM)
- NetWeaver Business Warehouse (BW)
- Business Intelligence (BI)
- Process Integration (PI)
- Solution Manager (SolMan)
- Governance, Risk & Compliance 10.x (GRC)
- NetWeaver ABAP Application Server 7.0 – 7.52
I software SAP vengono utilizzati da almeno il 90% delle prime 2.000 aziende mondiali per il controllo dei propri sistemi gestionali, come i libri paga dei dipendenti o la distribuzione dei prodotti fino ai processi industriali.
La SAP ha rilasciato una breve nota dove raccomanda l’installazione delle correzioni di sicurezza man mano che vengono rilasciate.