据外媒 8 月 28 日报道, *** 安全公司 ERPScan 研究人员近期发现 SAP POS 支付系统存在一处高危漏洞,允许黑客任意修改 SAP 销售站点的目标产品价格、拦截支付数据以及收集特定时间内使用信用卡的详细信息等。目前,黑客已利用该漏洞更改支付价格并以 1 美元成功购买 MacBook。
调查显示,该漏洞位于 SAP POS 支付系统的 SAP POS Xpress 服务器中,允许攻击者在无需任何身份验证下多次访问系统程序、修改管理权限。
什么是 SAP POS?
SAP POS 是 SAP 零售解决方案组合的其中一部分,自 2000 年以来就已为全球 80% 零售商提供服务。一般来说,SAP POS 由以下几种元素组成:
Ο 客户端应用程序安装在商店的 POS 终端上,用于处理支付交易;
Ο 存储服务器组件为商店后台提供连接、操作与管理功能。其中包括 POS Xpress 服务器以及一款存储服务器应用程序。
Ο 总部应用程序主要实现中央管理操作。
攻击场景
攻击者主要利用 SAP POS Xpress 服务器中缺少的授权检查功能远程访问 SAP POS 所在的同一 *** 环境。如果支付系统处于联网状态,攻击者就可进行远程攻击;但如果该系统尚未联网,攻击者则可通过连接一款成本仅需 25 美元的工具 Raspberry Pi 自动运行恶意命令进行远程访问。一旦进入系统,攻击者就可无限控制 POS 系统的后台与前端,任意上传恶意配置文件。
据悉,ERPScan 于今年四月就已通知 SAP 公司。随后,SAP 在 Security Note 2476601 与 SAP Security Note 2520064 系统中发布补丁程序。目前,研究人员建议客户尽快更新系统以保护公司关键业务资产免遭攻击。
原作者:Bogdan Popa ,译者:青楚
本文由 HackerNews.cc 翻译整理,封面来源于 *** 。
转载请注明“转自 HackerNews.cc ” 并附上原文链接
Hackernews 编译,转载请注明出处: 研究人员披露了 TerraMaster NAS设备的关键安全漏洞的细节,这些设备可以链接到未经身份验证的远程代码执行,且具有最高权限。 埃塞俄比亚网络安全研究公司 Octagon Networks 的 Paulos yibello 在分...
有争议的面部识别公司Clearview AI通过从互联网上搜罗自拍照片,积累了一个约100亿张图片的数据库,以便向执法部门出售身份匹配服务,今天,该公司再次被勒令删除人们的数据。法国的隐私监督机构CNIL今天说,这是因为Clearview违反了欧洲的《通用数据保护条例》(GDPR)。 在一份关于违...
网络安全专家认为 CVE-2021-44228 的普遍性以及容易被利用,这个 Log4j 中的远程代码执行漏洞可能需要数月甚至数年时间才能得到妥善解决。McAfee Enterprise 和 FireEye 的高级威胁研究主管 Steve Povolny 表示,Log4Shell 的破坏力完全和 S...
计算机科学与随机系统研究所(IRISA)的一支研究团队,刚刚介绍了其新开发的一套恶意软件检测系统,特点是利用树莓派来扫描设备中的特定电磁波。团队成员中宝库了 Annelie Heuser、Matthieu Mastio、Duy-Phuc Pham 和 Damien Marion,且由于这套装置专注于...
微软今天推出了一个紧急 Windows 修复补丁,以修复存在于 Windows Print Spooler 服务中的一个关键缺陷。该漏洞被称之为“PrintNightmare”,在安全研究人员无意中公布了概念验证(PoC)的利用代码后,于上周被曝光。 微软已经发布了带外安全更新以解决该漏洞,并将其评...
爱尔兰一位部长表示,对爱尔兰卫生服务计算机系统的网络攻击,可能是爱尔兰遭遇的最严重的网络犯罪攻击,这次攻击直指爱尔兰国家卫生系统的核心。 攻击发生后,卫生服务部门已经暂时关闭了其IT系统以进行保护。担任公共采购和电子政务部长的Smyth先生说这是一次国际攻击,这些是网络犯罪团伙,在寻找金钱。他...