Выпущен набор обновлений безопасности от SAP за февраль текущего года. Всего было ликвидировано 23 уязвимости в продукции компании, включая решения для подключения к системам автоматизированного управления производственными процессами. Степень опасности 13 уязвимостей была охарактеризована как высокая.
В рамках одного из обновлений была ликвидирована уязвимость обхода каталогов в системе xMII (Manufacturing, Integration and Intelligence), которая давала возможность без аутентификации получать доступ к OT-сети (Operational Technology), где находятся SCADA-системы и промышленные системы контроля (ICS). В случае успешного использования уязвимости злоумышленник мог просматривать любые каталоги в целевой системе, включая конфигурационные, системные файлы и исходный код приложения.
С помощью систем SAP xMII ведется сбор сведений о важных процессах. Также следует отметить наличие соединения данных систем с SAP PCo (Plant Connectivity), которые в свою очередь обмениваются данными с OPC-серверами, имеющими прямой доступ к ICS-устройствам.
По словам главного технического директора Digital Security Александра Полякова, все уязвимости в SAP xMII можно использовать для осуществления многоуровневых кибератак.