I titoli hanno avvertito che gli hacker CVE -2025-42957 sono stati autorizzati a montare gli hacker con un sistema minimo. “Per scendere a compromessi con sforzi minimi di un intero sistema, in cui lo sfruttamento riuscito può essere facilmente frode, spia o installazione di Ranswaire.”
Sono andato a scrivere l’agenzia di sicurezza:
L’attaccante richiede solo certificati di livello inferiore sul sistema SAP (per l’autorizzazione di chiamare il modulo RFC debole per l’approvazione dell’account utente e dell’attività 02 specificati) e non è richiesta alcuna interazione dell’utente e nessuna interazione dell’utente.
La complessità degli attacchi è bassa e può essere eseguita sulla rete, motivo per cui il punteggio CVSS è così alto (9,9). In breve, un attore malintenzionato sottostante o minacciato che ha ottenuto l’accesso all’utente di base (ad esempio tramite phishing) questo errore può ottenere questo errore in pieno controllo dell’ambiente SAP.
SAP, per una parte di esso, Attento: “Questo errore funge da backdoor, accesso non autorizzato e privacy, integrità e disponibilità nei sistemi SAP. Il sistema HANA SAP S/4 può essere gravemente compromesso senza miseria immediata.” Il post non menziona alcun assorbimento attivo.
Altri punti deboli hanno riferito martedì che SAP Business One, SAP Landscape Transformation Replication Server, SAP Commerce Cloud, SAP Datahub, SAP Business Planning and Union, SAP HCM, SAP Business Objects Plays e SPP, tra cui SAP Business Intelligence, Frees e SPP. La gravità di questa debolezza è da 3,1 a 8.8.
Tutti i punti deboli menzionati in questo post, specialmente con valutazioni ad alta intensità, dovrebbero essere patchati il prima possibile. SAP ha ulteriori informazioni Pagine di sicurezzaIL
