SAP zatvara kritične rupe

SAP je novim sigurnosnim paketom za srpanj zatvorio 16 ranjivosti u svojim proizvodima, među kojima su tri označene kao kritične. Prva se odnosi na NetWeaver Application Server ABAP, okruženje koje u brojnim velikim organizacijama nosi ključne poslovne aplikacije. Riječ je o slabosti povezanoj s upravljanjem memorijom, koja napadaču s ovlaštenim pristupom može omogućiti neovlašten uvid, izmjenu podataka ili nedostupnost sustava.

Druga kritična ranjivost nalazi se u SAP Approuteru, Node.js middleware sloju koji se koristi u cloud aplikacijama na SAP Business Technology Platformi. Napad kroz HTTP request smuggling može neautenticiranom napadaču otvoriti put prema korisničkim odgovorima ili izazvati uskraćivanje usluge. Treća kritična slabost pogađa SAP Commerce Cloud i povezana je sa zadanim vjerodajnicama koje mogu omogućiti dobivanje pristupnih tokena te čitanje ili izmjenu podataka kroz pojedine API-je.

Važnost ove objave proizlazi iz činjenice da SAP sustavi rijetko stoje na rubu poslovanja. Oni su često povezani s financijama, nabavom, proizvodnjom, ljudskim resursima, logistikom i korisničkim portalima. Ranjivost u takvom sloju ne znači samo tehnički problem za sigurnosni tim, nego potencijalni prekid poslovnih procesa, izloženost osjetljivih podataka i rizik od bočnog kretanja kroz internu mrežu.

Popis zakrpa uključuje i visoko te srednje ozbiljne probleme poput DLL hijackinga, otvorenog preusmjeravanja, nedostatka autorizacijskih provjera, udaljenog izvršavanja koda, XSS-a, path traversala, SQL injectiona, uskraćivanja usluge, curenja informacija i pogrešnih sigurnosnih konfiguracija. Takva širina slabosti pokazuje zašto patch management u velikim poslovnim platformama više ne može biti povremena administrativna aktivnost, nego stalni proces procjene rizika.

Posebno je važno da za najnovije ranjivosti zasad nije objavljena potvrda aktivnog iskorištavanja. To ne smije stvoriti lažan osjećaj sigurnosti. Povijest SAP ranjivosti pokazuje da napadači brzo analiziraju objavljene zakrpe i traže nezaštićene sustave, osobito one izložene internetu ili povezane s partnerskim pristupima. Dodatni rizik nastaje kada se kritične aplikacije ne mogu brzo ažurirati zbog prilagodbi, integracija ili straha od prekida poslovanja.

Za organizacije koje koriste SAP, prioritet je razvrstati sustave prema izloženosti i poslovnoj kritičnosti. Internetski dostupne komponente, BTP aplikacije, e-commerce okruženja i sustavi s API pristupima trebali bi imati najkraći rok sanacije. Uz samu instalaciju zakrpa potrebno je provjeriti postoje li zadane vjerodajnice, neuobičajeni tokeni, neočekivani pristupi API-jima i anomalije u logovima. Kod velikih sustava nije dovoljno samo zaključiti da je zakrpa instalirana; treba potvrditi da ranjiva konfiguracija više ne postoji.

Sigurnosni timovi trebali bi provjeriti i kompenzacijske kontrole ondje gdje zakrpa ne može odmah u produkciju. Segmentacija, ograničavanje pristupa, dodatno logiranje i provjera neuobičajenih poziva prema API-jima mogu smanjiti rizik tijekom prijelaznog razdoblja.

Kod poslovnih sustava ovakve ranjivosti imaju drukčiju težinu nego kod običnih korisničkih aplikacija. SAP okruženja često upravljaju financijama, nabavom, proizvodnjom, logističkim tokovima i podacima o kupcima, pa kompromitacija može zahvatiti srce organizacije. Velik broj instalacija još radi u složenim hibridnim arhitekturama, s prilagođenim modulima, integracijama i starijim sučeljima, što otežava brzo testiranje i primjenu zakrpa. Upravo zato kritične sigurnosne objave za takve sustave ne bi smjele završiti samo u tehničkom kalendaru administratora.

Praktični problem nastaje kada se sigurnosna zakrpa mora uskladiti s poslovnim kontinuitetom. Velike kompanije rijetko mogu zaustaviti ključne procese bez planiranja, ali napadači sve brže pretvaraju objavljene propuste u alate za masovno iskorištavanje. Sigurnosni timovi zato moraju imati unaprijed dogovorene postupke za procjenu rizika, privremene mjere, segmentaciju i hitnu implementaciju. Posebno su osjetljiva okruženja koja su izložena internetu ili povezana s partnerima kroz portale i API-je. Za uprave je poruka jednostavna: održavanje ERP-a više nije samo pitanje funkcionalnosti, nego jedan od temelja kibernetičke otpornosti.

Ova vijest dobro se uklapa u širi trend u kojem se sigurnost poslovnog softvera vraća u središte upravljačke odgovornosti. NIS2, DORA i nacionalni zakoni o kibernetičkoj sigurnosti sve više traže dokazive postupke upravljanja ranjivostima. U tvrtkama koje oslanjaju procese na ERP, commerce i cloud middleware, svaka kritična zakrpa postaje i test organizacijske zrelosti. Tko ne zna brzo utvrditi što koristi, gdje se nalazi i tko je odgovoran za sanaciju, taj sigurnosni rizik pretvara u poslovni rizik.