NetWeaver : vulnérabilité sévère, 40 000 clients SAP concernés

Données sensibles exposées

Si la vulnérabilité est exploitée, un attaquant – sans authentification – peut créer un nouvel utilisateur SAP anonyme qui dispose des privilèges maximums et peut ainsi contourner les contrôles d’accès et d’autorisation.

« Ces attaquants pourraient être en mesure de voler des données sensibles, de modifier des données critiques ou simplement de perturber les métiers en éteignant les systèmes », avertit Mariano Nunez.

Les données à risque vont des informations personnelles sur les employés, aux données sur les clients, en passant par les dossiers financiers, les données bancaires (numéros de compte, etc.) ou les documents des processus d’achat (factures, devis, etc.). Les entreprises qui ne patcheraient pas leurs systèmes se mettraient donc en situation de violation de la réglementation financière Sarbanes-Oxley et du RGPD.

Patch disponible

Heureusement, le patch est disponible rassure Khaja Ahmed, SVP et responsable monde de la sécurité des produits et des applications chez SAP.

« Pour être tout à fait clair [la faille] existe – et elle existe depuis 10 ans », commente-t-il. « [Mais] CTC n’est pas couramment utilisé. Le fait que la vulnérabilité ait été découverte par Onapsis est donc une bonne chose ; cela nous a permis de nous y attaquer de manière proactive avant qu’il ne soit plus largement utilisé ». Ce qui est une possibilité avec la généralisation du télétravail et donc l’accès à distance aux applications de l’entreprise.

Le patch de sécurité ajoute l’authentification et une procédure d’autorisation au service web de CTC. Le correctif RECON ne nécessite pas d’arrêt ou de reconfiguration des systèmes SAP, ajoute Nunez.

Les clients SAP ont déjà reçu des alertes aussi bien sur la vulnérabilité que sur la disponibilité du patch, confirme pour sa part Tim McKnight, responsable de la sécurité chez SAP. Celui-ci invite très fortement à l’installer, dans les plus brefs délais ; une perturbation de l’accès à distance des applications pouvant avoir des répercussions encore plus importantes dans le contexte actuel. Ce point a d’ailleurs, pour Nunez, contribué à donner la note de criticité la plus élevée à RECON.