Un grupo de especialistas ha revelado un método para explotar múltiples vulnerabilidades en SAP Solution Manager (SolMan), lo que permitiría obtener acceso root a los servidores empresariales afectados. La investigación fue revelada por Yvan Genuer y Pablo Artuso, de la firma Onapsis, durante el evento Black Hat.
SolMan es una aplicación centralizada para la administración de soluciones de TI en las instalaciones, en la nube o en entornos híbridos. Esta solución actúa como una herramienta de gestión para aplicaciones críticas para múltiples negocios, incluyendo el software de SAP y el de otras compañías.
Cifras recientes afirman que alrededor del 87% de las 2 mil compañías más importantes del mundo usan soluciones de SAP, por lo que las vulnerabilidades sin corregir podrían tener graves consecuencias. Pensando en esto, Onapsis realizó una evaluación de seguridad de SolMan que comenzó hace algunos meses. Según los investigadores, estas fallas permitirían a los actores de amenazas no autenticados comprometer casi cualquier sistema conectado a la plataforma.
SolMan funciona vinculando a los agentes de software en los servidores de SAP a través de la función SMDAgent, también conocida como el Agente de diagnóstico de SAP Solution Manager. SMDAgent facilita la comunicación y el monitoreo de instancias y generalmente se instala en servidores que ejecutan aplicaciones SAP.
Es posible acceder a SolMan mediante su propio servidor o SAPGui, lo que brinda acceso a al menos 20 aplicaciones relacionadas con SMDAgent mediante solicitudes HTTP GET, POST, o SOAP. Los especialistas descubrieron que End user Experience Monitoring (EEM) es un endpoint potencialmente vulnerable, pues no se requiere de autenticación para acceder; EEM permite al administrador de SAP crear scripts para emular acciones del usuario.
Los actores de amenazas podrían explotar esta falla en conjunto con un error de desinfección en el código JavaScript para implementar un script malicioso en la función afectada, lo que podría comprometer todos los sistemas conectados a SolMan. La falla de ejecución remota de código fue identificada como CVE-2020-6207 y recibió un puntaje de 10/10 en el Common Vulnerability Scoring System (CVSS).
Los investigadores también reportaron otras dos fallas en SolMan. La primera, identificada como CVE-2020-6234, reside en SAP Host Agent y su explotación permitiría a los hackers autenticados abusar del marco de operaciones y obtener privilegios de usuario root. La otra falla, identificada como CVE-2020-6236, también reside en Host Agent y permite a los hackers maliciosos escalar privilegios en el sistema afectado. Las vulnerabilidades podrían ser explotadas en conjunto, aunque hasta el momento no se han reportado casos de explotación activa.
Los parches de seguridad ya están disponibles, por lo que SAP recomienda actualizar a la brevedad.
Trabajando como arquitecto de ciberseguridad, el se enfoca en protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad con diferentes empresas. También tiene experiencia en diferentes industrias como finanzas, salud medica y reconocimiento facial.