Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
SAP AS ABAP
(, SAP system)
Описание
Найдены учетные записи, которые имеют доступ к таблицам с хэшами паролей всех пользователей. Данные полномочия позволяют выгрузить хэши паролей пользователей SAP для дальнейшего подбора этих паролей по словарю или полным перебором. Тем самым, подобрав пароль привилегированного пользователя, можно повысить уровень привилегий в системе.
В результатах приведена информация по учетным записям, обладающим искомыми полномочиями, приведен статус учетных записей и дана сводная информация по количеству найденных учетных записей и их проценту от общего числа пользователей в системе.
Согласно SAP Note 1484692 таблицы, в которых хранятся хэши паролей, следующие: USR02, USH02, USH02_ARC_TMP (начиная с релиза 6.20), USRPWDHISTORY (начиная с релиза 7.00), VUSER001 (начиная с релиза 4.5B), VUSR02_PWD (начиная с релиза 7.10).
В результатах приведена информация по учетным записям, обладающим искомыми полномочиями, приведен статус учетных записей и дана сводная информация по количеству найденных учетных записей и их проценту от общего числа пользователей в системе.
Согласно SAP Note 1484692 таблицы, в которых хранятся хэши паролей, следующие: USR02, USH02, USH02_ARC_TMP (начиная с релиза 6.20), USRPWDHISTORY (начиная с релиза 7.00), VUSER001 (начиная с релиза 4.5B), VUSR02_PWD (начиная с релиза 7.10).
Как исправить
Рекомендуется минимизировать список пользователей с данными полномочиями.
Ссылки
