Lỗ hổng thực thi mã không cần xác thực trong SAP Commerce Cloud (Data Hub Adapter)

SAP Commerce Cloud cho phép kẻ tấn công không cần xác thực lạm dụng một authentication client mặc định và gửi input được tạo đặc biệt tới một số hàm không có cơ chế kiểm tra đầy đủ. Khai thác thành công có thể cho phép thực thi mã tùy ý và xâm phạm các thành phần nội bộ, dẫn đến tác động cao đối với tính bảo mật, tính toàn vẹn và tính sẵn sàng của ứng dụng.

• SAP_SE SAP Commerce Cloud (Data Hub Adapter) có trạng thái mặc định là không bị ảnh hưởng trong bản ghi.
• Nhánh COM_CLOUD 2211 được xác định là bị ảnh hưởng.
• Nhánh 2211-JDK21 được xác định là bị ảnh hưởng.
• Bản ghi không cung cấp phiên bản đã được sửa hoặc ranh giới phiên bản mở rộng hơn. Không nên coi các nhánh khác là an toàn chỉ vì chúng không xuất hiện trong danh sách này.

Lỗ hổng nằm trong SAP Commerce Cloud Data Hub Adapter. Kẻ tấn công không cần xác thực có thể lạm dụng một authentication client mặc định và gửi input được tạo đặc biệt tới một số hàm không kiểm tra dữ liệu đầy đủ. Thành công có thể dẫn đến thực thi mã tùy ý và xâm phạm các thành phần nội bộ. Hồ sơ phân loại vấn đề này là CWE-94, Improper Control of Generation of Code. Hồ sơ không nêu tên endpoint, hàm cụ thể, định dạng payload, đường dẫn xử lý hoặc ngữ cảnh thực thi mã, vì vậy không nên suy đoán thêm về chuỗi khai thác.

• Lỗ hổng có thể bị tiếp cận qua mạng và không yêu cầu xác thực theo thông tin đánh giá được cung cấp.
• Độ phức tạp khai thác được đánh giá là thấp và không cần người dùng tương tác.
• Bản ghi được cung cấp đánh dấu public_exploit là false và không xác định trạng thái known_exploited. Dữ liệu CISA ADP được hiển thị cùng bản ghi ghi nhận exploitation là none tại thời điểm đánh giá của dữ liệu đó; thông tin này không chứng minh rằng hiện tại không có hoạt động khai thác.
• Chưa có chi tiết công khai trong hồ sơ về endpoint, payload, exploit code hoặc chỉ báo xâm nhập cụ thể.

Khai thác có thể dẫn đến thực thi mã tùy ý thông qua ứng dụng và xâm phạm các thành phần nội bộ. Hậu quả kỹ thuật có thể bao gồm đọc hoặc thay đổi dữ liệu, sử dụng quyền của tiến trình ứng dụng và làm suy giảm tính sẵn sàng của dịch vụ. Đánh giá được cung cấp cho thấy tác động có thể lan sang phạm vi khác với thành phần ban đầu, nhưng hồ sơ không mô tả cụ thể quyền hệ điều hành, tài khoản dịch vụ hoặc các hệ thống liên quan sẽ bị ảnh hưởng. Không có bằng chứng trong bản ghi về một vụ xâm nhập thực tế.

• Kẻ tấn công chưa đăng nhập có thể đạt được khả năng thực thi mã tùy ý trong phạm vi ứng dụng nếu điều kiện khai thác được đáp ứng.
• Việc xâm phạm các thành phần nội bộ có thể làm lộ dữ liệu, cho phép thay đổi dữ liệu hoặc gây gián đoạn dịch vụ.
• Do đánh giá cho thấy tác động có thể vượt ra ngoài thành phần bị lỗi, hệ thống tích hợp hoặc tài nguyên liên quan cũng có thể bị ảnh hưởng; đây là hệ quả có thể xảy ra, không phải một sự cố đã được xác nhận.
• Hồ sơ không xác nhận vụ xâm nhập, rò rỉ dữ liệu hay gián đoạn dịch vụ cụ thể nào.

1. Xác định tất cả triển khai SAP Commerce Cloud có Data Hub Adapter trên các nhánh COM_CLOUD 2211 và 2211-JDK21.
2. Xem SAP Security Note 3771065 và bản sửa lỗi trong SAP Security Patch Day để xác định correction áp dụng cho hệ thống, sau đó triển khai theo hướng dẫn của SAP. Hồ sơ được cung cấp không chứa solution text hoặc phiên bản cố định cụ thể.
3. Sau khi cập nhật, xác minh lại phiên bản và trạng thái của Data Hub Adapter trên từng hệ thống, đồng thời kiểm tra rằng default authentication client không còn cung cấp đường truy cập ngoài dự kiến.
4. Nếu chưa thể cập nhật, giảm khả năng truy cập mạng không tin cậy tới thành phần bị ảnh hưởng và tăng cường giám sát các yêu cầu không xác thực. Đây chỉ là biện pháp giảm thiểu thận trọng; hồ sơ không xác nhận một mitigation thay thế cụ thể nào.

1. Kiểm kê các hệ thống SAP Commerce Cloud có triển khai Data Hub Adapter, sau đó đối chiếu nhánh và trạng thái phiên bản với phạm vi bị ảnh hưởng.
2. Kiểm tra xem default authentication client có còn được bật và có thể truy cập từ mạng không tin cậy hay không. Không tự suy ra tên cấu hình hoặc endpoint cụ thể vì hồ sơ không cung cấp các chi tiết này.
3. Rà soát log truy cập và log ứng dụng của Data Hub Adapter để tìm các yêu cầu không xác thực bất thường, input bị từ chối hoặc hành vi thực thi bất thường. Đây là biện pháp giám sát phòng ngừa, không phải IOC đã được xác nhận.
4. Kiểm tra lịch sử thay đổi để xác nhận bản sửa lỗi của SAP đã được triển khai trên đúng nhánh sản phẩm. Việc không thấy sự kiện đáng ngờ trong log không chứng minh hệ thống an toàn.