SAP warnt vor Angriffen auf alte Sicherheitslücken in seinen Enterprise-Applikationen

SAP weist darauf hin, dass Cyberkriminelle regelmäßig versuchen, bekannte Schwachstellen in Enterprise-Produkten des Walldorfer Softwarehauses für Angriffe auf Unternehmen zu nutzen. Zusammen mit dem Sicherheitsanbieter Onapsis ermittelte SAP zwischen Juni 2020 und März 2021 mindestens 1500 Angriffsversuche, in die SAP-Anwendungen involviert waren. Mindestens 300 Attacken sollen erfolgreich gewesen sein.

Die Hacker nehmen dem Bericht von SAP und Onapsis zufolge Anwendungen aus den Bereichen Enterprise Ressource Planning, Customer Relationship Management und Supply Chain Systems ins Visier. SAP stellt für seine Produkte monatlich Sicherheitspatches zur Verfügung – viele Schwachstellen würden von Kunden aber nicht zeitnah beseitigt.

In einigen Fällen würden Unternehmen SAP-Anwendungen mit einer Anbindung an das Internet betreiben, die voller Fehler seien und über Zeiträume von Monaten oder gar Jahren keine Updates erhielten, heißt es in dem Bericht. Die Untersuchung von SAP und Onapsis ergab aber auch, dass das Fenster für das Einspielen von Patches kleiner ist, als bisher angenommen. Einige Anfälligkeiten in SAP-Software würden bereits innerhalb von 72 Stunden nach ihrer Offenlegung für Angriffe eingesetzt.

“Eine beobachtete Ausnutzung könnte in vielen Fällen zur vollständigen Kontrolle über die ungesicherte SAP-Anwendung führen, gängige Sicherheits- und Compliance-Kontrollen umgehen und es Angreifern ermöglichen, sensible Informationen zu stehlen, finanziellen Betrug zu begehen oder geschäftskritische Prozesse zu stören, indem sie Ransomware einsetzen oder den Betrieb anhalten”, erklärten SAP und Onapsis. “Diese Bedrohungen können auch Auswirkungen auf die Einhaltung gesetzlicher Vorschriften für Unternehmen haben, die SAP-Anwendungen, die regulierte Daten verarbeiten, nicht ordnungsgemäß abgesichert haben.”

Die beiden Unternehmen nennen in dem Bericht auch Beispiele für bekannte Sicherheitslücken in SAP-Software, die derzeit aktiv von Hackern ausgenutzt werden. Darunter sind auch Bugs, die mit einem CVSS-Score von 10 Punkten bewertet sind und somit den höchsten möglichen Schweregrad haben. Davon betroffen sind unter anderem SAP NetWeaver/Java, SAP Solution Manager 7.2 und das Invoker Servlet von SAP NetWeaver Application Server. Patches für diese Sicherheitslöcher stehen seit Juli beziehungsweise März 2020 sowie seit 2016 zur Verfügung.