Un anno fa, Onapsis avvisava dei pericoli corsi dalle aziende che usano sistemi SAP senza però applicare prontamente le patch di sicurezza.

Oggi un nuovo allarme si diffonde, e ancora una volta riguarda un problema che in teoria sarebbe già risolto perché la correzione è stata rilasciata anni fa.

L'americano CERT ha infatti reso noto che 36 «organizzazioni globali» stanno tuttora utilizzando software SAP contenente un bug scoperto e corretto nel 2010.

Spunti di approfondimento:

Samsung Smart Home, serrature vulnerabili ai topi d'appartamento

Storia di un furto informatico da un miliardo di dollari

Rubati i file segreti della massoneria francese

Falla in Magic Kinder, foto e dati dei bambini a rischio

Si tratta di grandi aziende attive nei settori delle telecomunicazioni, dell'energia, della distribuzione del gas e della siderurgia: tutte rischiano che qualcuno, sfruttando il bug, ottenga l'accesso ai loro sistemi SAP e, da lì, anche alle apparecchiature non-SAP.

I nomi delle realtà coinvolte non sono stati rivelati ma, considerato il fatto che i ricercatori accennano alla portata globale delle loro attività, è certo che l'impatto di un'eventuale violazione dei loro sistemi possa essere molto serio.

Il problema sta nell'invoker servlet, un insieme di funzioni che permette di adoperare applicazioni Java sostanzialmente senza dover fornire credenziali.

A causa dell'evidente minaccia alla sicurezza che questa funzionalità costituisce, già sei anni fa SAP ha deciso di disabilitarla completamente: in effetti, in passato ci sono stati casi di aziende prese di mira da hacker intenzionati a sottrarre dati sensibili e prendere il controllo dei sistemi proprio tramite l'invoker servlet.

Il problema è che ci sono tuttora aziende che adoperano software molto vecchio e dunque privo di correzioni, oppure aziende che per motivi di compatibilità con alcuni applicativi hanno riattivato l'invoker servlet.

«Lo sfruttamento di questa vulnerabilità dà pieno accesso alle piattaforme SAP ad hacker non autenticati e fornisce loro il controllo completo sulle informazioni e sui processi in esecuzione, oltre che potenziale ulteriore accesso ai sistemi connessi SAP e non-SAP» spiegano i ricercatori.

Non ci sono indizi del fatto che la falla sia attualmente sfruttata ma è probabile che la diramazione dell'allarme da parte del CERT, oltre a informare gli amministratori di sistema della necessità di correre ai ripari, spinga i pirati informatici a darsi da fare finché non vengono prese contromisure.