商业巨头SAP今天发布了一个补丁程序，该补丁程序影响了一个影响其绝大多数客户的主要漏洞。据云安全公司Onapsis称，该代号为RECON的漏洞使公司容易遭受黑客攻击，该漏洞于今年5月初发现，并将此漏洞报告给SAP进行了修补。
Onapsis表示，RECON允许恶意威胁参与者在Internet上公开的SAP应用程序上创建具有最大特权的SAP用户帐户，从而使攻击者能够完全控制被黑客攻击的公司的SAP资源。
错误会影响许多主要的SAP应用程序
该漏洞易于利用，位于运行SAP NetWeaver Java技术堆栈的每个SAP应用程序中的默认组件中，即位于SAP NetWeaver Application Server（AS）的LM配置向导组件中。
该组件已在某些SAP最受欢迎的产品中使用，包括SAP S / 4HANA，SAP SCM，SAP CRM，SAP CRM，SAP Enterprise Portal和SAP Solution Manager（SolMan）。
运行SAP NetWeaver Java技术堆栈的其他SAP应用程序也会受到影响。Onapsis估计受影响的公司数量约为40,000个SAP客户。但是，并非所有人都直接在Internet上公开易受攻击的应用程序。
Onapsis说，他们进行的扫描发现了大约2500个直接暴露于Internet的SAP系统，这些系统当前容易受到RECON错误的攻击。
“严重性10”BUG
应用此补丁程序的紧迫性是有保证的。Onapsis表示，RECON错误是那些罕见的漏洞之一，在CVSSv3漏洞严重性等级中，该漏洞最多获得10分（满分10）。
10分表示该漏洞易于开发，因为它不涉及技术知识。可以自动进行互联网远程攻击；并且不需要攻击者已经在SAP应用程序上拥有帐户或有效的凭证。
巧合的是，这是最近几周内披露的第三个主要CVSS 10/10错误。PAN-OS（用于Palo Alto Networks防火墙和VPN设备的操作系统）和F5的BIG-IP流量整形服务器（当今最流行的网络设备之一）中也披露了类似的严重错误。
此外，它对于企业部门来说也是一个粗糙的补丁，在Oracle，Citrix和Juniper设备中也发现了类似的漏洞。所有漏洞的严重性等级很高，并且易于利用。
这些漏洞中的许多漏洞已经受到攻击，并且已被黑客利用，例如PAN-OS，F5和Citrix错误。
建议SAP系统管理员尽快应用SAP的补丁程序，因为Onapsis警告说该错误可能使黑客完全控制公司的SAP应用程序，然后从内部系统窃取专有技术和用户数据。
SAP补丁将在接下来的几个小时内列出并在公司的安全门户上提供。
国土安全部网络安全和基础设施安全局（DHS CISA）今天也发布了安全警报，敦促公司尽快部署补丁。
RECON也被跟踪为CVE-2020-6287。
*编译：Domino
*来自：zdnet