Noticias

Hoy, retomamos una de nuestras publicaciones trimestrales; la revisión de las notas de seguridad de SAP. Empezamos con último trimestre del 2018, y en próximas publicaciones continuaremos con las notas SAP del 2019.

Tuvimos 5 notas críticas (Hot News) en el último trimestre del año 2018, con lo cual fue muy importante, debido a la criticidad de las notas. Por esta razón damos el detalle de un total de 16 notas, a pesar de que 3 de ellas reciben actualización dentro del mismo trimestre (es decir estaríamos hablando de un total de 19 notas entre críticas y altas). Destacamos:

• La vulnerabilidad más crítica del trimestre: en SAP HANA Streaming Analytics que permitiría a un atacante la ejecución remota de código con los mismos permisos (muy elevados) que el servicio que los ejecuta. CVSS de 9.9
• La primera nota crítica para “SAP BusinessObjects BI Suite” desde hace más de 6 años. CVSS de 9.8
• Y  la clásica de “SAP Business Client”, con 6 actualizaciones a lo largo del 2018 (CVSS 9.8).

Tenemos un total de 53 notas para todo el cuarto trimestre del 2018, 30 menos que el pasado trimestre, (41 de los patch Tuesday, 3 menos que el pasado trimestre):

• En Octubre de 2018 se han publicado un total de 20 notas (15 en el Security Notes Tuesday – 11 nuevas y 4 actualizaciones de notas anteriores). El 40% de las notas (8 notas) afectan a la plataforma “SAP NetWeaver ABAP”.
  • Existieron 2 “hot news” (críticas):
    • Una afecta a SAP BusinessObjects, la primera nota crítica para el mismo desde 2012. Permite la divulgación de información de gran impacto que podría derivar en otros muchos ataques. Razón de que tenga un CVSS de 9.8
    • La otra, es la actualización recurrente relacionada con el “SAP Business Client” (a través de navegador web) y también con un CVSS de 9.8, que se volvió a actualizar en Diciembre.
  • Por otro lado tuvimos 5 notas de criticidad alta (High Priority) siendo 3 nuevas y 2 actualizaciones de notas anteriores siendo la criticidad máxima con un CVSS de 8.5 relacionada con Gardener (Kubernetes).
  • Este mes el tipo más predominante fue “Information Disclosure” (4/20 y 3/15 en patch day).

• En Noviembre se han publicado un total de 16 notas (14 en el Security Notes Tuesday – 11 nuevas y 3 actualizaciones de notas anteriores).
  • La única “hot new” (crítica) es una vulnerabilidad en SAP HANA Streaming Analytics que permitiría a un atacante la ejecución remota de código con los mismos permisos (muy elevados) que el servicio que los ejecuta. CVSS de 9.9
  • Existieron también un total de 5 de criticidad alta (high priority), de las cuales destacamos 4 nuevas y con CVSS entre 7.6 y 8.6., ya que la restante es una actualización de la de Gardener (Kubernetes) del mes anterior.
    • De las destacadas las dos de mayor nivel están relacionadas con: el cliente de SAP Fiori con múltiples vulnerabilidades, la primera; y con una de librería que se extiende a lo largo del sistema, para Zip Slip en “SAP Disclosure Management”, la otra.
  • Este mes los tipos más predominantes fueron “Denial of Service” (3/16 y 2/14 en patch day) y “Cross-Site Scripting” (2/16 y 2/14 en patch day).

• En Diciembre se han publicado un total de 17 notas (12 en el Security Notes Tuesday – 9 nuevas y 3 actualizaciones de notas anteriores).
  • Existieron 2 “hot news” (críticas), pero de nuevo una es la relacionada con SAP Business Client versión 6.5 a través de web y la otra solo relevante si se usa Hybris Commerce:
    • Una vulnerabilidad de cross-site scripting (XSS) en SAP Hybris Commerce, afecta al archivo JavaScript webApplicationInjector.js o a una copia de él cuando lo utilizan las tiendas
  • Existieron también un total de 3 de criticidad alta (high priority), destacando solo una de ellas con impacto significativo con un CVSS de 8.3, por falta de chequeo de autorización en “SAP Customizing Tools”.
  • Este mes el tipo más predominante fue “Missing Authorization Check” (6/17 y 3/12 en patch day), precisamente el tipo de la nota alta destacada en la línea anterior.

En la gráfica (post Diciembre 2018 de SAP) podemos ver la evolución y clasificación de las notas de los 3 meses del cuarto trimestre del año (2018), además de los 3 meses del pasado trimestre (solo las notas del Sec. Tuesday / Patch Day – by SAP):

Y en la siguiente gráfica (post Diciembre 2018 de ERPScan) podemos ver la misma evolución, pero incluyendo todas las notas del mes, incluso aquellas publicadas además de las del Sec. Tuesday / Patch Day:

All the details of the most revelant notes below:

1. data, debugging information, etc.) that will help to learn about a system and plan other attacks. Install this SAP Security Note to prevent the risks. CVSS v3 Base Score: 9.8 / 10
2. SAP Business Client has a security vulnerability (2622660): This note bundles multiple vulnerabilities. The bugs concern vulnerabilities in web browser controls that are used to display pages in SAP Business Client 6.5 PL5. Web browser controls are programmable building blocks that software developers use to embed web pages in their applications. Depending on the vulnerability, attackers can exploit a Memory corruption vulnerability for injecting specially crafted code into a working memory which will be executed by the vulnerable application. This can lead to taking complete control of an application, denial of service, command execution and other attacks. This fact has a negative influence on business processes and business reputation as a result. Install this SAP Security Note to prevent the risks. Updated in October and December 2018 (“If this note has been already implemented, then there is no action required.” Manual steps only have usability impact and no security implications). CVSS v3 Base Score: 9.8 / 10
3. Gardener has a Missing network isolation vulnerability (2699726): Following the Gardener architecture, the Kubernetes apiserver of a Gardener managed shoot cluster resides in the corresponding seed cluster. Due to missing network isolation a shoot’s apiserver can access services/endpoints in the private network of its corresponding seed cluster. Combined with other minor Kubernetes security issues, the missing network isolation theoretically can lead to compromise other shoot or seed clusters in the Gardener context. The issue is rated high due to the high impact of a potential exploitation in the Gardener context. In the Gardener context, missing network isolation can enable an attacker who is admin in a shoot cluster to compromise the corresponding seed cluster or other shoot clusters which are controlled by this seed cluster. Install this SAP Security Note to prevent the risks. Updated in October and November 2018. CVSS Base Score: 8.5 / 10
4. SAP Plant Connectivity (PCo) has a Denial of service (DOS) vulnerability (2674215): An attacker can use Denial of service vulnerability for terminating a process of vulnerable component. For this time nobody can use this service, this fact negatively influences on a business processes, system downtime and business reputation as result. Install this SAP Security Note to prevent the risks. CVSS Base Score: 8.2 / 10
5. Leveraging Privileges by Customer Transaction Code (2392860 – Re-release): UPDATE – No action is required if this note was already installed after its initial release in February 2017. It fixes the possible use of a reserved transaction code included in a standard SAP role. Exploitation requires a malicious user to use that code in a development system and let that change be transported to the production system. CVSS Base Score: 8.0 / 10
6. Missing XML Validation vulnerability in SAP HANA, Extended Application Services classic model (2681207 – Re-release): UPDATE – The reason for the re-release is not the patch itself, which has no changes, but involves a technical description of the note. In the solution section, SAP re-named the previously called ‘workarounds’ to ‘measures to reduce the attack surface’ which mostly consists of a further explanation of possible protection measures that could be present on OData software packages running in HANA’s Extended Application Services classic model. CVSS Base Score: 7.5 / 10
7. Denial of Service(DoS) vulnerability in SAPFoundation / database (2696962): This note affects users or developers of the SAP Cloud Platform SDK for iOS due to a vulnerability in the widely used SQLite database which is prone to local Denial of Service. It can be solved both by installing the appropriate patch and following some simple rules for coding the mobile software detailed in the security note. CVSS Base Score: – (not available yet) / 10
8. SAP HANA Streaming Analytics has a Security vulnerability in Spring Framework (2681280): An attacker can use a Remote command execution vulnerability for unauthorized execution of commands remotely. Executed commands will run with a same privileges of a service that executed a command. An attacker can access to arbitrary files and directories located in a SAP server file system including application source code, configuration and critical system files. It allows obtaining critical technical and business-related information stored in a vulnerable SAP system. Install this SAP Security Note to prevent the risks. CVSS v3 Base Score: 9.9 / 10
9. SAP Fiori Client has multiple vulnerabilities (DoS, HTML Injection, Missing Authorization Check) (2691126): An attacker can use multiple vulnerabilities and exploit one of the listed or mix them together. An attacker can use a Denial of service vulnerability to terminate a process of vulnerable component, and nobody would use this service. Missing authorization check vulnerability can be used for accessing a service without authorization procedures and for employing service functionality with restricted access that can lead to information disclosure or attacks like privilege escalation. Cross-site scripting vulnerability allows injecting a malicious script into a page. Reflected XSS feature refers to tricking a user who would follow a malicious link. In case of stored XSS, malicious script is injected and permanently stored in a page body, so that user would be attacked without performing any actions. The malicious script can access critical information that are stored by browser (including all cookies, session tokens, etc.) and used for interacting with a site. An attacker can gain access to user’s session and see all business-critical information or even get control over it. XSS can be used for unauthorized modifying of displayed site content. Install this SAP Security Note to prevent the risks. CVSS v3 Base Score: 8.6 / 10
10. Zip Slip in SAP Disclosure Management (2701410): This vulnerability consists of a fail in the location where the files are written when decompressed. It is a widespread vulnerability because it is originated in many commonly used libraries. This vulnerability can be exploited when a malicious archive is processed by a vulnerable decompressing extraction code. With it, an attacker may delete or overwrite data, target remote files he can execute or read the content of arbitrary files. The patch prevents further uploads of specially crafted compressed files. Install this SAP Security Note to prevent the risks. CVSS v3 Base Score: 8.0 / 10
11. Web Intelligence Richclient 3 Tiers Mode has a Denial of service (DOS) vulnerability (2657670): An attacker can use a Denial of service vulnerability for terminating a process of a vulnerable component, and nobody would use this service. This fact negatively influences business processes, system downtime and business reputation as a result. Install this SAP Security Note to prevent the risks. CVSS Base Score: 7.7 / 10
12. Leveraging privileges by customer transaction code (2693083): In some SAP standard roles, a transaction code reserved for customer is used. By implementing such transaction code a malicious user may execute unauthorized transaction functionality. That transaction code can be abused by someone with development privileges and having the possibility to get it transported to a production system. Install this SAP Security Note to prevent the risks. CVSS Base Score: 7.6 / 10
13. SAP Hybris Commerce storefronts has a Cross-Site Scripting vulnerability (2711425): An attacker can use Cross-site scripting vulnerability for injecting a malicious script into a page. Reflected XSS feature is necessity of tricking a user from an attackers’ side – he must make user to use specially crafted link. Speaking about stored XSS, malicious script is injected and permanently stored in a page body, this way user is attacked without performing any actions. The malicious script can access to all cookies, session tokens and other critical information stored by browser and used for interaction with a site. An attacker can gain access to user’s session and learn business-critical information, in some cases it is possible to get control over this information. Also XSS can be used for unauthorized modifying of displayed site content. Install this SAP Security Note to prevent the risks. CVSS v3 Base Score: 9.3 / 10
14. Missing Authorization check in SAP Customizing Tools (2698996): An attacker can use the lack of authorization checks to perform an escalation of privileges. SAP Customizing Tools do not perform necessary authorization checks for an authenticated user, resulting in escalation of privileges. Some well-known impacts of Missing Authorization check in this case are the abuse of functionality restricted to a particular user group; or the reading, modification or deletion of restricted data. Install this SAP Security Note to prevent the risks. CVSS v3 Base Score: 8.3 / 10
15. SAP Java keystore service has Implementation flaw vulnerability (2658279): Depending on the problem, an implementation flaw can cause unpredictable behaviour of a system, troubles with stability and safety. Patches solve configuration errors, add new functionality and increase system stability. Install this SAP Security Note to prevent the risks. CVSS Base Score: 7.4 / 10
16. SAP NetWeaver AS Java has XML external entity (XXE) vulnerability (2642680): SAP NetWeaver AS Java has XML external entity (XXE) vulnerability (CVSS Base Score: 7.1 CVE- 2018-2485) An attacker can use XML external entity vulnerability to send specially crafted unauthorized XML requests which will be processed by XML parser. An attacker can use a XML external entity vulnerability for getting unauthorised access to OS filesystem. Install this SAP Security Note to prevent the risks. CVSS Base Score: 7.1 / 10

Enlaces de referencia del CERT del INCIBE en relación a la publicación de las notas para los 3 meses de este trimestre:

https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/actualizacion-seguridad-sap-octubre-2018

https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/actualizacion-seguridad-sap-noviembre-2018

https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/actualizacion-seguridad-sap-diciembre-2018

Otras referencias, en inglés de SAP, Onapsis y ERPScan (en orden: Octubre->Diciembre):

https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=500633095

https://www.onapsis.com/blog/sap-patch-notes-october-2018

https://erpscan.io/press-center/blog/sap-cyber-threat-intelligence-report-october-2018/

https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=503809832

https://www.onapsis.com/blog/sap-security-notes-november-18-mobile-client-side-menace

https://erpscan.io/press-center/blog/sap-cyber-threat-intelligence-report-november-2018/

https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=508559699

https://www.onapsis.com/blog/sap-security-notes-december-18-high-priority-missing-authorization-check-affecting-sap-s4hana

https://erpscan.io/press-center/blog/sap-cyber-threat-intelligence-report-december-2018/

El listado completo de los sistemas/componentes afectados es el siguiente:

Recursos afectados:

• Knowledge Management (XMLForms) in SAP NetWeaver, versiones desde la 7.30, 7.31, 7.40 hasta la 7.50
• Proyecto Gardener, versión 0.12.2.
• Project “Gardener”, versión 0.12.4
• SAP_ABA, versiones desde la 7.00 hasta la 7.02, desde la 7.10 hasta la 7.11, desde la 7.30, 7.31, 7.40, 7.50 y 75C hasta la 75D
• SAP ABAP Change and Transport System (CTS), versiones SAP KERNEL 32 NUC, SAP KERNEL 32 Unicode, SAP KERNEL 64 NUC, SAP KERNEL 64 Unicode 7.21, 7.21EXT, 7.22 y 7.22EXT; SAP KERNEL 7.21, 7.22, 7.45, 7.49, 7.53, 7.73, 7.74
• SAP Adaptive Server Enterprise (ASE), versiones 15.7 y 16.0.
• SAP BASIS, versiones 6.40, 7.00, 7.01, 7.02, 7.10, 7.11, 7.20, 7.30, 7.31, 7.40
• SAP Basis (“AS ABAP of SAP NetWeaver” 700 a 750, para 750 posteriormente entregadas como “ABAP Platform”) versiones 7.00 a 7.02, 7.10 a 7.30, 7.31, 7.40, 7.50 a 7.53
• SAP Basis (TREX / BWA installation), versiones desde la 7.0 hasta la 7.02, desde la 710 hasta la 7.11, desde la 7.30, 7.31, 7.40 y 7.50 hasta la 7.53
• SAP Business Client, versión 6.5.
• SAP BusinessObjects BI Platform Server, versiones 4.1 y 4.2
• SAP BusinessObjects Business Intelligence Platform (BIWorkspace) versiones 4.1 y 4.2
• SAP BusinessObjects BI Platform Servers (Software Development Kit), versiones 4.1 y 4.2.
• SAP Business One Service Layer, versión B1_ON_HANA (9.2, 9.3)
• AP Commerce (SAP Hybris Commerce), versiones 6.2, 6.3, 6.4, 6.5, 6.6, 6.7
• SAP Data Services, versión 4.2.
• SAP Disclosure Management, versiones 10.x
• SAP Fiori 1.0 para SAP ERP HCM (Approve Leave Request, versión 2), versión 1.0.
• SAP Fiori Client
• SAP HANA, versiones 1.0 y 2.0.
• SAP HANA Streaming Analytics, versión 2.0
• SAP Marketing, versiones UICUAN (1.20, 1.30, 1.40), SAPSCORE (1.13, 1.14)
• SAP Mobile Secure Android Application, version 6.60.19942.0
• SAP Mobile Secure for Android, versión 6.60.19942.0 SP28 1711
• SAP NetWeaver, versiones – ServerCore (7.11, 7.20, 7.30, 7.31, 7.40, 7.50)
• SAP NetWeaver (Application Server Java Library), versiones 7.20, 7.30, 7.31 y 7.50
• SAP NetWeaver (forums), versiones 7.30, 7.31 y 7.40
• SAP Netweaver Application Server para ABAP, versiones desde 7.0 hasta 7.02, 7.30, 7.31, 7.40 y desde 7.50 hasta 7.53.
• SAP NetWeaver AS ABAP Business Server Pages
• SAP NetWeaver AS Java, versiones ServerCore (7.10, 7.11, 7.20, 7.30, 7.31, 7.40, 7.50)
• SAP Plant Connectivity, versiones 15.0, 15.1 y 15.2.

SAP Records Management, versiones 7.0 a 7.02, 7.10, 7.11, 7.30, 7.31, 7.40, 7.50 y 7.51.

Los días 12 y 13 de marzo, nuestro equipo, acudió al evento SAP GRC (Controles Internos, Cumplimiento y Gestión de Riesgos en SAP) celebrado en Barcelona. En esta Conferencia internacional de SAP, se han expuesto casos de usuarios con las mejores prácticas, las últimas tendencias y actualizaciones de la industria y demostraciones emocionantes.

Como siempre hemos recogidos las principales conclusiones para compartirlas con vosotros.

¿Qué destacamos?

• La funcionalidad del evento debido al escaso contenido técnico, pensado para responsables de Control Interno, Gestión de Riesgos empresariales y Auditoría.

• Como en los últimos eventos de SAP, se ha destacado el término Three Lines of Defense que hace referencia a Riesgos (Risk Management), Controles (Process Control) y Auditoría (Audit Management).

• Se ha tratado el “Intelligent Enterprise” con el uso de Machine Learning e inteligencia artificial, aunque, por ahora, se realiza sobre SAP con herramientas externas como pueden ser IBM Watson, Microsoft Azure y Automation Anywhere. Actualmente, se hace uso de esta tecnología para automatizar tareas repetitivas como revisar logs de accesos de emergencia y ejecutar el ciclo de vida de los controles en Process Control.

• Se ha resaltado también el uso de los Adobe Interactive Forms para Process Control, ya que casi todos los ponentes han confirmado su uso. Los motivos son sencillos, es una aplicación que permite actuar al usuario cubriendo un PDF sin necesidad de acceder al sistema de GRC y no requiere prácticamente formación. En Inprosec ya hemos implementado esta herramienta en varios clientes y con éxito.

• En definitiva este evento nos ha permitido conocer más de cerca la estrategia a largo plazo de GRC en el área de SAP GRC y como convivirán la solución On-Premise y la solución Cloud.

Durante los días 26, 27 y 28 de Marzo, Inprosec Auto estuvo presente en la Startup Olé de Salamanca junto con todo el equipo BFA. En ella, presentamos nuestra maqueta interactiva con la que demostramos lo sencillo que es hackear el IIoT (Industrial internet of things) sobre la robótica industrial y los sistemas SCADA.

Además, Inprosec Auto ha sido seleccionado entre las 100 mejores startups y por ello ha participado en el pitch competition que tuvo lugar a lo largo del día 27.

La Startup Olé es uno de los mayores eventos de tecnología empresarial en Europa. Cuenta con el apoyo de la Comisión Europea, Sistema de integración Centroamericano (SICA), la Universidad de Salamanca y el ayuntamiento de Salamanca. La Startup Olé se ha convertido en toda una referencia para el sistema tecnológico-empresarial a nivel internacional.

Durante los próximos días realizaremos una publicación con varias de las conclusiones extraídas, ¡os esperamos!

El pasado Martes 26 de Febrero, nuestro COO, Alejandro Alonso Rodríguez, realizó la grabación del nuevo video promocional de Inprosec Auto

gracias a su participación en la etapa de consolidación de BFA (Business Factory Auto).

Durante la entrevista, se ha hecho especial hincapié en la importancia de la ciberseguridad para los entornos industriales conectados y en las ventajas

que nuestro I+D+i y el desarrollo de soluciones propias tendrán sobre nuestros clientes.

Además, también hemos contado qué nos ha aportado el programa BFA en nuestro proyecto y en qué estado nos encontramos actualmente.

La entrevista en video será publicada en unas semanas. Os mantendremos informados.

Inprosec Auto se enorgullece de poder anunciar que ya es miembro oficial del Cluster de automoción de Galicia. CEAGA es un potente cluster de automoción que agrupa a más de 100 proveedores de diferentes componentes de vehículo, desde Tier 1 a Tier 3, en Galicia.

CEAGA fue fundada en 1997 por 37 empresas fabricantes de componentes de automoción, con el fin de desarrollar proyectos de carácter cooperativo orientados a la mejora competitiva. Actualmente agrupa a la totalidad de empresas gallegas del sector industrial de automoción donde se incluyen el centro de Vigo de Groupe PSA y el Centro Tecnológico de Automoción de Galicia (CTAG).

Inprosec Auto se une a CEAGA junto con otras 116 empresas del sector de automoción siendo la única empresa dedicada a ciberseguridad. Con ello, demuestra su apuesta por la ciberseguridad industrial en el sector de automoción y por convertirse en un referente en la industria gallega.

Entre los servicios que se ofrecen actualmente se encuentran la auditoría normativa y estratégica: contamos con experiencia en normativas específicas de automoción como la VDA-ISA (normativa exigida por el grupo alemán TISAX y promovida por Volkswagen) para el correcto cumplimiento tanto técnico como organizativo en seguridad de la información, y normativas que aseguran un buen estado de salud de ciberseguridad industrial como la ISA 62443 y NIST 800-82.

Además, ofrece servicios de auditoría técnica a sistemas de control industrial (ICS) e IoT (Internet of things) desplegado en fábrica.

Otra de las apuestas clave de Inprosec Auto en este sector, es la investigación en producto. Nuestra sección de I+D+i trabaja en el desarrollo de hardware destinado a la protección y prevención de ciberincidentes en fábrica tal como presentó en la última Laconnetwork del pasado 7 y 8 de Febrero y con el que está participando en la fase de consolidación de la Business Factory Auto.

Con todo ello, pretende dar respuesta y solución al crecimiento de vulnerabilidades en fábrica que cada vez es más acusado y crítico.

Esta semana nuestro CEO, Iago Fortes, ha tenido la oportunidad de asistir al CES de Las Vegas.

La ‘Consumer Electronics Show (CES)’ es la feria internacional electrónica más grande del mundo y, este año, junto a CEAGA y gracias a su programa de aceleración BFA (Business Factory Auto), hemos tenido el privilegio de informarnos in situ de las principales novedades en el mercado de la automoción, ciberseguridad y conectividad entre otros.

Este evento, de alcance mediático mundial y que se ha celebrado desde 1976, reúne a las mejores y mayores empresas de electrónica como Nvidia, Samsung, Harman e Intel en espacios llamados Marketplace.

En total se estima que unas 4.000 empresas de todo el mundo tienen presencia en el CES de las Vegas donde se ofrecen demostraciones desde novedades de vehículo conectado, autónomo, smartcities o ciberseguridad hasta videojuegos.

El CES también cuenta con un programa de conferencias impartidas por algunos de los máximos expertos de la materia a nivel mundial y sobre las que, sin duda, esperamos haceros un resumen al término del evento.

Este año, sobre el que se espera una asistencia récord, girará en torno a varias temáticas de actualidad. Entre los temas tratados, queremos resaltar la presentación de productos relacionados con el coche conectado y coche autónomo y la gran innovación que supone. Existe una gran necesidad de Ciberseguridad al respecto y en muchos de los casos, se requiere para poder cumplir la legislación tanto actual como la que está por venir. Desde Inprosec Auto, estamos tomando buena nota para dar el mejor asesoramiento a nuestros clientes.

¡Os animamos a manteneros informados sobre las principales novedades que iremos anunciando para que no os perdáis nada de este evento tan señalado!

El pasado 5 de diciembre, parte del equipo de Inprosec Auto acudió, junto con Liberiot (empresa participante del programa de aceleración), a las instalaciones del Cluster de Empresas de Automoción de Galicia (CEAGA) para reunirse con el Responsable de Telecomunicaciones del Groupe PSA, Stéphan Leyris.

En la sesión se ha presentado, en primer lugar, la iniciativa de BFA, que tiene como misión impulsar la innovación y el emprendimiento en el Sector de Automoción de Galicia, así como una breve exposición de todos los proyectos participantes, tanto de la fase de aceleración como de la fase de consolidación.

Tras esta breve introducción, Inprosec Auto ha presentado su portfolio de servicios, además de los nuevos productos de I+D+i, en los cuales está trabajando en esta nueva fase de consolidación del programa de BFA.

Inprosec Auto ha tenido el placer de ser una de las dos empresas seleccionadas para esta importante presentación y con la que se reafirma como única iniciativa de ciberseguridad en BFA.

El equipo de Inprosec ha acudido a las jornadas STIC CCN-CERT, organizadas por el Centro Criptológico Nacional (CCN), en su duodécima edición. Estas jornadas se han convertido en uno de los principales encuentros de ciberseguridad de España, no sólo por el gran éxito de convocatoria sino también por la calidad de los temas abordados y por la experiencia y conocimiento de los ponentes.

En esta ocasión el evento ha tenido lugar en Madrid los días 12 y 13 de diciembre. El lema escogido para estas XII Jornadas STIC CCN-CERT, ha sido “Ciberseguridad, hacia una respuesta y disuasión efectiva”, convencidos del necesario cambio de paradigma en la protección del ciberespacio.

Al igual que nosotros, varios de los miembros de la Red Gallega de Ciberseguridad (RGC) han asistido al evento para disfrutar de las diversas temáticas. Se ha hablado de la prevención, las amenazas, los ataques, los retos tecnológicos y la privacidad en dispositivos móviles.

Uno de los  puntos a destacar es el trabajo que se está llevando a cabo en la nueva versión ENS para adaptarla al RGPD y LOPD, llegando a plantear que lo ideal en un futuro sería poder certificarse en el ENS-RGPD.

Otro de los temas de gran interés, ha sido la charla de Car Hacking sobre CAN Bus, el primer protocolo de comunicaciones para la automoción.

Y finalmente queremos felicitar a Juan González, investigador del Centro Tecnológico de Gradiant, por ser el ganador gallego del desafío Hacker Battle, celebrado en estas Jornadas de Ciberseguridad.

Un trimestre más, desde Inprosec, analizamos las notas publicadas por SAP, esta vez las referidas al tercer trimestre del 2018.

Tenemos 1 nota crítica (Hot News) en este trimestre, aunque se trata de una actualización (fue publicada en abril y actualizada en Junio, Julio y Septiembre) y 8 destacadas de nivel alto, a la que añadiremos una nota del nivel medio, la más crítica de Junio para la revisión en detalle de 10 notas.

• La nota más crítica (CVSS 9.8), actualización de nota anterior, está relacionada con el componente “SAP Business Client” y se trata de una nota recurrente con la 4º actualización en lo que va de año a mes de septiembre.
• Además, destacamos una de las notas altas de mayor CVSS (8.8) en relación con el “SAP ECC Sales Support”.

Tenemos un total de 83 notas para todo el trimestre, 28 más que el pasado trimestre, (44 de los patch Tuesday, 12 más que el pasado trimestre):

• En Julio se han publicado un total de 34 notas (16 en el Security Notes Tuesday – 11 nuevas y 5 actualizaciones de notas anteriores).
  • La única “hot new” (crítica) es una actualización de una nota de Abril de este año que ya había sido actualizada en Junio relacionada con el “SAP Business Client” y con un CVSS de 9.8, que además volverá a ser actualizada en Septiembre y que detallaremos a pesar de no ser una nota nueva por su relevancia.
  • Por otro lado, tenemos 4 notas de criticidad alta (High Priority) pero todas son actualizaciones de notas anteriores siendo la criticidad máxima con un CVSS de 7.3.
  • Este mes el tipo más predominante es “Missing Authorization Check” (5/35 y 1/16 en patch day).

• En agosto se han publicado un total de 27 notas (14 en el Security Notes Tuesday – 12 nuevas y 2 actualizaciones de notas anteriores).
  • Aunque este mes no existen ni “hot news” (críticas), tenemos 9 notas de criticidad alta (high priority), de las cuales destacamos 4 siendo las nuevas y con CVSS entre 7.2 y 8.6.
  • Destacamos la nota con mayor criticidad (CVSS 8.6) sobre la falta de un chequeo de autorizaciones en el sistema SAP SRM (Supplier Relationship Management).
  • Este mes los tipos más predominantes son “Missing Authorization Check” (6/27 y 1/14 en patch day) e “Information Disclosure” (5/27 y 2/14 en patch day).

• En septiembre se han publicado un total de 22 notas (14 en el Security Notes Tuesday – 13 nuevas y 1 actualizaciones de notas anteriores).
  • La única “hot new” (crítica) es de nuevo la actualización de una nota de abril relacionada con el “SAP Business Client” con su tercera actualización en lo que va de año y con un CVSS de 9.8. Importante instalarla de nuevo.
  • Existen también un total de 4 de criticidad alta (high priority), siendo 3 de ellas de una criticidad muy significativa con un CVSS de 8.8 y la restante con un CVSS de 7.5.
  • Este mes el tipo más predominante es “Missing Authorization Check” (6/22 y 3/14 en patch day).

En la gráfica (post septiembre 2018 de SAP) podemos ver la evolución y clasificación de las notas de los 3 meses del tercer trimestre del año (2018), además de los 3 meses del pasado trimestre (solo las notas del Sec. Tuesday / Patch Day – by SAP):

Y en la siguiente gráfica (post septiembre 2018 de ERP Scan) podemos ver la misma evolución, pero incluyendo todas las notas del mes, incluso aquellas publicadas además de las del Sec. Tuesday / Patch Day:

All the details of the most relevant notes below:

1. SAP Business Client has a security vulnerability (2622660): This note bundles multiple vulnerabilities. The bugs concern vulnerabilities in web browser controls that are used to display pages in SAP Business Client 6.5 PL5. Web browser controls are programmable building blocks that software developers use to embed web pages in their applications. Depending on the vulnerability, attackers can exploit a Memory corruption vulnerability for injecting specially crafted code into a working memory which will be executed by the vulnerable application. This can lead to taking complete control of an application, denial of service, command execution and other attacks. This fact has a negative influence on business processes and business reputation as a result. Install this SAP Security Note to prevent the risks. Updated in July & September 2018 (“If this note has been already implemented, then there is no action required.” Manual steps only have usability impact and no security implications). CVSS v3 Base Score: 9.8 / 10
2. SAP ABAP has an Missing Authorization check vulnerability (2652578): An attacker can use a Missing authorization check vulnerability to access a service without any authorization procedures and to use service functionality that has restricted access. This can lead to an information disclosure, privilege escalation, and other attacks. Install this SAP Security Note to prevent the risks. CVSS v3 Base Score: 6.4 / 10
3. SAP SRM MDM Catalog has a Missing Authorization check vulnerability (2655250): An attacker can use the vulnerability to access a service without any authorization procedures and to use service functionality that has restricted access. This can lead to an information disclosure, privilege escalation, and other attacks. Install this SAP Security Note to prevent the risks. CVSS Base Score: 8.6 / 10
4. SAP BI Launchpad Web Intelligence has an SQL Injection (SQLi) vulnerability (2644154): An attacker can use this vulnerability with a help of specially crafted SQL queries. He or she can read and modify sensitive information in a database, execute administration operations, destroy data or make it unavailable. In some cases, the hacker can access system data or execute OS commands. Install this SAP Security Note to prevent the risks. CVSS Base Score: 7.7 / 10
5. SAP BusinessObjects Business Intelligence platform has a Memory Corruption vulnerability (2614229): An attacker can use Buffer overflow vulnerability for injecting specially crafted code into a working memory which will be executed by vulnerable application. Executed commands will run with the same privileges of a service that executed a command. This can lead to complete control of an application, denial of service, command execution, and other attacks. In case of command execution, attackers can obtain critical technical and business-related information stored in a vulnerable SAP system or use it for privilege escalation. Speaking about denial of service, it is possible to terminate a process of a vulnerable component so that nobody can use this service. Install this SAP Security Note to prevent the risks. CVSS Base Score: 7.5 / 10
6. SAP MaxDB/liveCache has a SQL Injection Vulnerability (2660005): This is a security issue with the SAP live cache technology in MaxDB versions 7.8 and 7.9. It allows an attacker to get the DBM operator privileges and abuse them to, at the end, read, modify or delete sensitive information from the database. The required update of the software solves the problem by removing those abusable privileges from the DBM operator. CVSS Base Score: 7.2 / 10
7. SAP ECC Sales Support has a Missing Authorization check vulnerability (2449974): An attacker can use this vulnerability to access a service without any authorization procedure and employ service functionality that has restricted access. This can lead to information disclosure, privilege escalation, and other attacks. Install this SAP Security Note to prevent the risks. CVSS Base Score: 8.8 / 10
8. SAP Business One and SAP HANA Installer has an Information Disclosure vulnerability (2670284): An attacker can use the Information disclosure vulnerability to reveal additional information (system data, debugging information, etc.) which would help to learn about a system and plan other attacks. Install this SAP Security Note to prevent the risks. CVSS Base Score: 8.8 / 10
9. SAP BEx Web Java Runtime Export Web Service has a Missing XML Validation (XXE) vulnerability (2644279): An attacker can use XML external entity vulnerability to send specially crafted unauthorized XML requests, which would be processed by XML parser. The attacker would gain unauthorised access to OS filesystem. Install this SAP Security Note to prevent the risks. CVSS Base Score: 8.8 / 10
10. SAP HANA, Extended Application Services classic model has a Missing XML Validation vulnerability in (2681207): SAP HANA, Extended Application Services classic model OData parser does not sufficiently validate XML. By exploiting, an unauthorized hacker can cause the database server to crash. CVSS Base Score: 7.5 / 10

Enlaces de referencia del CERT del INCIBE en relación a la publicación de las notas para los 3 meses de este trimestre:

https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/actualizacion-seguridad-sap-julio-2018

https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/actualizacion-seguridad-sap-agosto-2018

https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/actualizacion-seguridad-sap-septiembre-2018

Otras referencias, en inglés de SAP, Onapsis y ERPScan (en orden: Julio->Septiembre):

https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=497256000

https://www.onapsis.com/blog/SAP-Security-Notes-July-18-rise-of-security-notes

https://erpscan.io/press-center/blog/sap-cyber-threat-intelligence-report-july-2018/

https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=499352742

https://www.onapsis.com/blog/sap-patch-notes-august-2018

https://erpscan.io/press-center/blog/sap-cyber-threat-intelligence-report-august-2018/

https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=499356993

https://www.onapsis.com/blog/sap-patch-notes-september-2018

https://erpscan.io/press-center/blog/sap-cyber-threat-intelligence-report-september-2018/