El 90% de los clientes de SAP expuestos por un error en la configuración predeterminada de los productos basados en NetWeaver

Visualización del registro de aplicaciones en SAP

Para que esto se haga de forma segura el ‘SAP Message Server’ implementa un mecanismo de control mediante una lista de control de acceso o ‘ACL’ para verificar que direcciones IP pueden registrar una aplicación y cuales no. El parámetro para configurar esto es ‘ms/acl_info’ que recibe la ruta a un archivo con un formato determinado. La configuración por defecto hace que las ‘ACL‘ permitan a cualquier host con acceso a la red del ‘SAP Message Server’ pueda registrar un servidor de aplicaciones en el sistema SAP.

Desde Onapsis no tienen pruebas de que se haya estado usando esta vulnerabilidad para un ataque, pero este fallo sin duda es bastante grave y con un gran número de afectados.

Para arreglar esta vulnerabilidad hay que modificar la configuración de acuerdo a las notas de seguridad expuestas por el fabricante para restringir el acceso.