Le cabinet de cybersécurité Trustwave a dévoilé mercredi les détails de plusieurs vulnérabilités trouvées par ses chercheurs dans SAP Adaptive Server Enterprise (ASE).

SAP ASE est un système de gestion de bases de données relationnelles utilisé par de nombreuses grandes organisations, en particulier dans le secteur financier. À un moment donné, SAP a déclaré que ce produit était utilisé par la grande majorité des 25 premières banques mondiales.

Les chercheurs de Trustwave ont analysé SAP ASE et découvert un total de six vulnérabilités, dont la plupart se sont vu attribuer un critique ou haute indice de gravité. La société affirme que les failles de sécurité peuvent permettre à des attaquants non privilégiés de prendre le contrôle total de la base de données et éventuellement même du système d’exploitation sous-jacent.

Les problèmes critiques peuvent permettre à un attaquant disposant de privilèges limités d’exécuter du code arbitraire avec des autorisations plus élevées – autorisations LocalSystem sur les systèmes Windows. Les failles, suivies comme CVE-2020-6248 et CVE-2020-6252, sont liées aux composants Backup Server et Cockpit.

Il existe également une faille de gravité élevée liée au composant XP Server qui peut également être exploitée pour l’exécution de code arbitraire avec les privilèges LocalSystem, a révélé Trustwave dans un article de blog.

Deux autres vulnérabilités de gravité élevée permettent une élévation de privilèges via des attaques par injection SQL. Le dernier numéro, noté gravité moyenne, affecte uniquement les systèmes Linux / UNIX et est lié à la présence de mots de passe en texte clair dans les journaux d’installation. Cette faiblesse peut être dangereuse lorsqu’elle est combinée avec d’autres vulnérabilités car elle peut entraîner la compromission complète de SAP ASE.

Trustwave a communiqué ses conclusions à SAP, qui a publié des correctifs fin avril pour ASE 15.7 et 16.0. SAP a mentionné les vulnérabilités dans l’avis qu’il a publié pour ses mises à jour de sécurité de mai 2020.

«Les organisations stockent souvent leurs données les plus critiques dans des bases de données, qui, à leur tour, sont souvent nécessairement exposées dans des documents non fiables ou exposés publiquement …

Voir la source de cette publication