Компания SAP выпустила ежемесячный набор обновлений безопасности за март 2012 года. Данный набор обновлений закрывает множество уязвимостей в продуктах SAP. В общей сложности было исправлено более 40 различных уязвимостей, 7 из которых было обнаружено сторонними исследователями, в том числе и сотрудниками нашей компании.

В сегодняшней заметке я расскажу подробнее об обнаруженных уязвимостях и о том, какие риски несут эти уязвимости.

1. (1607850) SAPBW– разглашение потенциально критичной информации. Подробности отсутствуют. Критичность по CVSS – 7.5.
2. (1580244)  SAPBASIS  – отсутствие проверки авторизации в одной из RFC-функций. Критичность по CVSS – 3.5.
3. (1656549)  SAPPortal  –  уязвимость межсайтового скриптинга (XSS). Критичность по CVSS – 4.3. Злоумышленник может использовать данную уязвимость, послав неосведомленному пользователю специальную ссылку посредством электронной почты, мгновенных сообщений или социальных сетей. При переходе по такой ссылке пользовательский браузер выполнит вредоносный скрипт. Получив доступ к данным сессии пользователя, используя вредоносный скрипт, злоумышленник сможет получить контроль над критичными для бизнеса данными, хранящимися в этих приложениях, к которым имеет доступ жертва.
4. (1657891) SAPBASIS  – отсутствие проверки авторизации в одной из RFC-функций. Критичность по CVSS – 2.3. Злоумышленник может выполнить уязвимую программу, транзакцию или RFC-функцию удалённо без авторизации. Это может привести к получению злоумышленником критичной информации или к полной компрометации системы.
5. (1591427) SAPBASIS– уязвимость межсайтового скриптинга (XSS). Критичность по CVSS – 4.3.
6. (1658947) SAPPortal – раскрытие информации. Критичность по CVSS – 4.0.
7. (1600755) SAPHR – внедрение произвольного  ABAP-кода через отсутствие проверок валидности входных данных. Критичность по CVSS – 6.0.

Сегодня мы рассмотрим детально один из самых популярных типов уязвимостей – отсутствие проверки авторизации при вызове RFC-функции.

В целом, это один из наиболее распространённых и понятных типов уязвимостей. Рассмотрим некую RFC-функцию, которая выполняет какое-то критичное действие в системе – назовём её, к примеру, Z_RFCEXPLOIT  (а по сути это также относится