美國土安全部警告：駭客已對SAP舊漏洞展開攻擊，至少36家企業受害

美國國土安全部旗下的美國電腦緊急事件應變小組（United States Computer Emergency Readiness Team，US-CERT）對美國企業發出警告，ERP大廠軟體SAP一項舊漏洞遭到開採攻擊，至少已有36家企業受害。
 
US-CERT指出，這項漏洞出現在SAP NetWeaver Application Server Java平台內建的Invoker Servlet中。這項漏洞一經攻擊，將讓未具權限的遠端駭客取得SAP平台完整權限，得以存取全權控制企業資訊及流程，甚至存取到其他系統。
 
雖然SAP早在2010年已經修補這項漏洞，然而有許多組態不當或未升級的SAP系統受到影響。但美國國土安全部表示，至少有36家美國企業已經受害。
 
由於SAP Java平台是SAP商用系統及技術元件的基礎技術堆疊，因此影響產品十分廣泛，包括SAP ERP、CRM、PLM、NetWeaver Business Warehouse、Business Intelligence等17項關鍵系統。所幸這項漏洞位在SAP應用層，因此並不影響跑SAP系統的作業系統及資料庫。
 
US-CERT建議SAP系統管理員儘速部署SAP 安全公告Security Note 1445998，關閉Invoker Servlet。此外也最好掃瞄系統是否有組態不當或未安裝修補程式的漏洞。
 
像SAP、Oracle這類商務系統擁有重要資訊，一旦被入侵往往伴隨著重大財務損失。SAP上個月中才修補26項漏洞，包括2個可能導致阻斷服務攻擊（DoS）的重大漏洞。