Probamos un POC de CVE-2020-6207 en SAP Solution Manager 7.2 End-user Experiencie Montiroing (EEM).
CVE-2020-6207
Hace alrededor de un año se publicó una vulnerabilidad del módulo EEM (End-user Experience Monitoring) para Solution Manager 7.2. La información completa puede verse aquí: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-6207. Fue catalogada con una puntuación de 10/10 en CVSS v3 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Ésto da una idea de la gravedad el problema y requiere una atención inmediata para evitar la explotación de la vulnerabilidad.
SAP User Experience Montoring & SAP Solution Manager
SAP Solution Manager es una solución para la gestión integral y centralizada de aplicaciones SAP (ERP, CRM, BI, entre otros). Permite gestionar el ciclo de vida, optimizar procesos, controlar procesos de negocio, centralizar soporte de sistemas SAP y no SAP implementados entre otros. Es una suite compatible con ITIL en al menos 15 procesos distintos.
SAP User Experience Monitoring (EEM) es una herramienta para evaluación y reporting de sistemas productivos (y no productivos) integrada como parte de la solución de monitorización que SAP Solution Manager ofrece. Los datos se almacenan en el BW del propio SolMan y permite como otras herramientas de monitorización alertas según a través de varios canales (email, sms…), reportes predefinidos, reportes personalizados, análisis interactivos, etc. Más info:
- Info: https://support.sap.com/en/alm/solution-manager/expert-portal/user-experience-monitoring.html
- Info: https://help.sap.com/saphelp_sm71_sp10/helpdata/en/10/83786db5f1461c8cff8fbcc1666a4d/frameset.htm
- Info: https://blogs.sap.com/2020/05/10/end-user-experience-monitoring-in-a-nutshell/
- Guía de instalación: https://wiki.scn.sap.com/wiki/display/EEM/Installation+Guide+7.2
- Más info: https://help.sap.com/viewer/82f6dd44db4e4518aad4dfce00116fcf/7.2.05/en-US/372dad5728904975beb24c8e87239aab.html
El anuncio de la vulnerabilidad fue descrita en la Black Hat USA (pdf) por investigadores de Onapsis. Y al poco tiempo se midieron numerosos intentos de explotación de la vulnerabilidad. SAP se apresuró a lanzar una nota que corregía el problema: 2890213 – [CVE-2020-6207] Missing Authentication Check in SAP Solution Manager, publicada en boletín de Marzo junto a otras relacionadas 2845377 – [CVE-2020-6198] Missing Authentication check in SAP Solution Manager (Diagnostics Agent).
En este caso, si se daban las condiciones bastaba con tener acceso al puerto utilizado por NetWeaver Administrator (NWA) para comprometer el sistema por completo. Generalmente el puerto utilizado para el NWA es el 5XX00 (puerto del Internet Comunication Manager), siendo XX el número de la instancia Java. Por ejemplo, si una instancia Java tiene el número 06, http utilizará el 50600; 50601 usualmente si es https.
Proof of Concept
Recientemente , Dmitry Chastuhin publicó esta intersante POC (Prueba de concepto) que incluye un script escrito en python con finalidad educativa con el que se pude verificar si un sistema es vulnerable:
Es importante destacar la trascendencia de este tipo de vulnerabilidades, ya que el Solution Manager muy habitualmente se encuentra interconectado con todos los entornos SAP disponibles, e incluso con algunos no SAP, y los daños podrían propagarse a otros sistemas, quedando expuestos éstos también, con el potencial riego que puede suponer.
Recuerda la importancia de mantener tus sistemas y aplicaciones siempre actualizados.
Las actualizaciones de las soluciones de una organización siempre constituyen un quebradero de cabeza constante. Una metodología eficiente, programada y cumplida reduce los riesgos de forma considerable. SAP recomienda actualizar el kernel cada 6 meses y Support Package Stack al menos una vez al año.
Si necesitas ayuda, no dudes en contactarnos.
Más información: https://onapsis.com/blog/new-sap-exploit-published-online-how-stay-secure