攻擊者可抹除SAP Afaria網(wǎng)絡(luò)平臺中移動設(shè)備的數(shù)據(jù)

研究人員發(fā)現(xiàn)，如果你的移動設(shè)備連接至SAP公司Afaria網(wǎng)絡(luò)服務(wù)器，那么攻擊者僅僅通過一條SMS短信就可以清除你的移動設(shè)備中的所有數(shù)據(jù)。SAP公司的Afaria平臺中存在有幾處非常嚴(yán)重的安全漏洞,攻擊者可以利用這些漏洞來控制所有連接至該平臺服務(wù)器的移動設(shè)備。甚至僅僅通過一條精心設(shè)計(jì)的惡意SMS短信,攻擊者就可以刪除這些設(shè)備中的用戶數(shù)據(jù)。

SAP公司成立于1972年,公司總部位于德國的沃爾多夫市,在全球擁有6萬多名員工,子公司遍布于全球的130多個國家和地區(qū),并擁有覆蓋全球11,500家企業(yè)的合作伙伴網(wǎng)絡(luò)。作為全球領(lǐng)先的企業(yè)管理軟件解決方案提供商,SAP可以幫助各行業(yè)不同規(guī)模的企業(yè)實(shí)現(xiàn)卓越運(yùn)營。從企業(yè)后臺到公司決策層、從工廠倉庫到商鋪店面、從電腦桌面到移動終端,SAP助力用戶和企業(yè)的高效協(xié)作,獲取商業(yè)洞見,并從競爭中脫穎而出。SAP的軟件和服務(wù)能夠幫助客戶實(shí)現(xiàn)盈利性的運(yùn)營,不斷提升應(yīng)變能力,實(shí)現(xiàn)可持續(xù)的增長。

Afaria是SAP公司提供的一項(xiàng)商業(yè)服務(wù),SAP公司的Afaria平臺可以算得上是業(yè)界公認(rèn)的最強(qiáng)大,最靈活,最安全的管理企業(yè)移動設(shè)備和移動數(shù)據(jù)的產(chǎn)品了。

首先,為了保證這個平臺的正常運(yùn)行,公司的員工們需要在他們的手機(jī)中安裝Afaria的客戶端,然后公司信息技術(shù)部門的員工還需要假設(shè)一個服務(wù)器組件來對訪問公司資源的相應(yīng)權(quán)限進(jìn)行控制,例如什么身份的人,在什么時(shí)間,在什么地方可以訪問到公司的這些資源。

根據(jù)ERPScan公司安全研究專家的描述,該平臺中存在有多處安全漏洞,但SAP公司目前已經(jīng)將這些漏洞修復(fù)了。

攻擊者僅僅通過一條SMS短信,就可以清除存儲在手機(jī)中的數(shù)據(jù)

在研究人員所發(fā)現(xiàn)的所有安全漏洞中,其中最嚴(yán)重的一個漏洞能夠允許攻擊者偽造服務(wù)器組件發(fā)送至移動客戶端的控制命令。

通常情況下,這種控制命令是通過SMS消息的形式來進(jìn)行發(fā)送的,并且使用SHA256來對發(fā)送的消息進(jìn)行簽名。

根據(jù)ERPScan公司安全研究專家的描述,攻擊者可能已經(jīng)發(fā)現(xiàn),對這些消息進(jìn)行簽名的操作實(shí)際上是非常簡單的,他們甚至可以使用他們自己的hash來進(jìn)行簽名,然后他們就可以將這些偽造的控制命令發(fā)送至任意一臺連接至Afaria網(wǎng)絡(luò)的移動設(shè)備了。

ERPScan公司在美國亞特蘭大的HackerHalted安全大會上發(fā)表了一篇研究報(bào)告,并在論文中寫到:“攻擊者唯一需要的東西就是公司員工的手機(jī)號碼以及移動設(shè)備的IMEI碼,攻擊者可以通過多種渠道來獲取這兩個信息。”

只要得到了這些信息,攻擊者就可以得到公司員工移動設(shè)備的完整控制權(quán)了,并且攻擊者還可以鎖定這些移動設(shè)備,禁用它們的無線網(wǎng)絡(luò)功能,甚至還可以清除設(shè)備中所有的用戶數(shù)據(jù)。

通過網(wǎng)絡(luò),攻擊者還可以得到目標(biāo)移動設(shè)備的完整控制權(quán)。

另一個非常嚴(yán)重的安全漏洞是一個存儲型XSS漏洞,這個漏洞存在于Afaria平臺的管理控制臺之中。攻擊者只要將一個經(jīng)過精心設(shè)計(jì)的數(shù)據(jù)包發(fā)送至一個特殊的端口(平臺的系統(tǒng)管理模塊將會記錄并存儲這個數(shù)據(jù)包),就可以輕松地利用這個漏洞了。

當(dāng)管理員進(jìn)行登錄操作的時(shí)候,這段經(jīng)過特殊設(shè)計(jì)的JavaScript代碼將會被執(zhí)行,這樣一來,攻擊者就可以直接訪問系統(tǒng)的管理控制面板和所有已經(jīng)建立了通信連接的移動設(shè)備了。

通過利用SAP Afaria平臺的這個漏洞,攻擊者可以從這些受影響的設(shè)備中竊取用戶的數(shù)據(jù),并且還可以在所有的移動設(shè)備上安裝惡意軟件。

除了上述的兩個嚴(yán)重的安全漏洞之外,研究人員還在Afaria平臺中發(fā)現(xiàn)了另外三個安全漏洞。第一個漏洞是一個緩沖區(qū)溢出漏洞,這個漏洞能夠允許攻擊者得到平臺的完整控制權(quán),甚至還可以直接弄垮整個服務(wù)器。

第二個漏洞是身份檢測功能缺失,這將允許攻擊者在沒有經(jīng)過任何身份驗(yàn)證的情況下訪問到存儲在Afaria平臺中的數(shù)據(jù),這也就意味著,這個漏洞將直接給予攻擊者訪問企業(yè)網(wǎng)絡(luò)數(shù)據(jù)的權(quán)限。

而第三個漏洞則是關(guān)于另一個緩沖區(qū)溢出的問題,這個漏洞將會導(dǎo)致系統(tǒng)拒絕服務(wù),這樣一來,該平臺所有的用戶都將無法進(jìn)行訪問。

正如我們在上面所提到的那樣,SAP公司的安全工程師花費(fèi)了大量的時(shí)間和精力,目前已經(jīng)將這些漏洞成功地修復(fù)了。