SAP HANA漏洞及修复建议-阿里云开发者社区

SAP HANA漏洞及修复建议

2017-03-21 1301

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： SAP HANA漏洞及修复建议 http://mp.weixin.qq.com/s/ylYT2KGS3YZCGRYXUf_IQw 近期，中国国家信息安全漏洞共享平台(CNVD)收录了SAP云商务平台HANA系统存在多个漏洞中的两个关键漏洞：HANA自助服务身份认证漏洞与会话固定(Session Fixation)漏洞(CNVD-2017-02799、CNVD-2017-02802)。

SAP HANA漏洞及修复建议

http://mp.weixin.qq.com/s/ylYT2KGS3YZCGRYXUf_IQw

近期，中国国家信息安全漏洞共享平台(CNVD)收录了SAP云商务平台HANA系统存在多个漏洞中的两个关键漏洞：HANA自助服务身份认证漏洞与会话固定(Session Fixation)漏洞(CNVD-2017-02799、CNVD-2017-02802)。利用这些漏洞，外部或内部攻击者未经任何身份认证就能够冒用其他用户甚至是高权限用户身份，远程控制SAP HANA平台，使得平台上承载的企业和组织信息和业务安全可能面临严重威胁。

一、漏洞情况分析

SAP HANA(High-Performance Analytic Appliance)是一个软硬件结合体的内存数据库，大量应用于实时业务数据的查询和分析。根据国外安全公司Onapsis Research Labs的报告，其发现SAP云商务平台HANA中存在27个漏洞，其中有两个关键漏洞：

(一)SAP HANA自助服务工具身份认证漏洞。该工具允许用户激活一些额外的功能，如修改密码、密码重置、用户自注册等功能，但却存在身份认证漏洞，攻击者不需要经过任何验证，可利用漏洞通过HANA的用户自助服务元件入侵整个系统。

(二)SAPHANA自助服务存在会话固定漏洞(Session Fixation)。外部或内部攻击者未经任何身份认证就能够使用其他用户甚至是高权限用户会话权限，在不需要用户名和密码的情况下修改、窃取或删除敏感资料。

CNVD对上述漏洞的技术评级为“高危”。

二、漏洞影响范围

漏洞影响SAP HANA2及以往旧版本，包括SAP HANA SPS09等。根据CNVD秘书处普查结果，互联网上共有约2.4万台标记为SAP HANA云商务平台的主机IP，其中排名前五的国家和地区分别是美国(占比35.7%)、韩国(10.8%)、德国(10.1%)、中国大陆地区(6.9%)以及印度(3.0%)。