Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) hôm thứ Năm đã bổ sung một lỗ hổng bảo mật nghiêm trọng của SAP vào Danh mục các lỗ hổng được khai thác đã biết, dựa trên bằng chứng về việc khai thác tích cực.
Vấn đề được đề cập là CVE-2022-22536, đã nhận được điểm rủi ro cao nhất có thể là 10,0 trên hệ thống chấm điểm lỗ hổng CVSS và đã được SAP giải quyết như một phần của bản cập nhật Patch Tuesday cho tháng 2 năm 2022.
Được mô tả là một lỗ hổng bảo mật yêu cầu HTTP, thiếu sót này ảnh hưởng đến các phiên bản sản phẩm sau:
SAP Web Dispatcher (Phiên bản – 7.49, 7.53, 7.77, 7.81, 7.85, 7.22EXT, 7.86, 7.87) Máy chủ nội dung SAP (Phiên bản – 7.53) Nền tảng SAP NetWeaver và ABAP (Phiên bản – KERNEL 7.22, 8.04, 7.49, 7.53, 7.77, 7.81, 7.85, 7.86, 7.87, KRNL64UC 8.04, 7.22, 7.22EXT, 7.49, 7.53, KRNL64NUC 7.22, 7.22EXT, 7.49)
“Kẻ tấn công không được xác thực có thể thêm vào yêu cầu của nạn nhân với dữ liệu tùy ý, cho phép thực hiện chức năng mạo danh nạn nhân hoặc đầu độc các bộ đệm web trung gian”, CISA cho biết trong một cảnh báo.
“Một yêu cầu HTTP đơn giản, không thể phân biệt với bất kỳ thông báo hợp lệ nào khác và không có bất kỳ loại xác thực nào, là đủ để khai thác thành công”, Onapsis, người phát hiện ra lỗ hổng, lưu ý. “Do đó, điều này khiến những kẻ tấn công dễ dàng khai thác nó và thách thức hơn đối với công nghệ bảo mật như tường lửa hoặc IDS / IPS để phát hiện ra nó (vì nó không có tải trọng độc hại).”
Bên cạnh điểm yếu của SAP, cơ quan này đã bổ sung các lỗ hổng mới do Apple tiết lộ (CVE-2022-32893 và CVE-2022-32894) và Google (CVE-2022-2856) trong tuần này cũng như các lỗi liên quan đến Microsoft (CVE) đã được ghi nhận trước đó -2022-21971 và CVE-2022-26923) và một lỗ hổng thực thi mã từ xa trong Palo Alto Networks PAN-OS (CVE-2017-15944, điểm CVSS: 9,8) đã được tiết lộ vào năm 2017.
CVE-2022-21971 (điểm CVSS: 7,8) là lỗ hổng thực thi mã từ xa trong Windows Runtime đã được Microsoft giải quyết vào tháng 2 năm 2022. CVE-2022-26923 (điểm CVSS: 8,8), được khắc phục vào tháng 5 năm 2022, liên quan đến một đặc quyền lỗi leo thang trong Dịch vụ miền Active Directory.
“Người dùng được xác thực có thể thao tác các thuộc tính trên tài khoản máy tính mà họ sở hữu hoặc quản lý và có được chứng chỉ từ Dịch vụ chứng chỉ Active Directory sẽ cho phép nâng đặc quyền lên Hệ thống”, Microsoft mô tả trong lời khuyên dành cho CVE-2022-26923.
Thông báo của CISA, như thường lệ, chỉ đề cập đến các chi tiết kỹ thuật của các cuộc tấn công tự nhiên liên quan đến các lỗ hổng để tránh các tác nhân đe dọa lợi dụng chúng hơn nữa.
Để giảm thiểu nguy cơ tiếp xúc với các mối đe dọa tiềm ẩn, các cơ quan Chi nhánh Điều hành Dân sự Liên bang (FCEB) được yêu cầu áp dụng các bản vá lỗi liên quan trước ngày 8 tháng 9 năm 2022.
.
