🖥SAP закрыла критическую уязвимость OVERPASS, но 🇷🇺российскому бизнесу официальный патч недоступен

SAP выпустила исправление для критической уязвимости OVERPASS (CVE-2026-44756), получившей наивысшую оценку 10 баллов по шкале CVSS. Обновление доступно с 8 сентября. Успешная эксплуатация позволяет удалённому злоумышленнику без прохождения аутентификации выполнять команды операционной системы от имени учётной записи сервиса SAP и перехватить полный контроль над инфраструктурой и бизнес-данными.

Для российских предприятий ситуация осложняется прекращением официальной поддержки вендора в конце 2023 года. Как сообщает ComNews, сотни отечественных компаний продолжают использовать продукты SAP, но лишены штатного доступа к обновлениям и базе SAP Notes. Возникает неприятная ситуация, когда сведения об уязвимости известны всему миру, а легальная возможность установить патч у бизнеса в РФ отсутствует.

Проблему обнаружили ИБ-исследователи Onapsis. Ошибка содержится в общем коде ядра SAP при обработке служебной структуры Extended Passport (EPP), используемой для сквозной трассировки запросов. Из-за отсутствия проверки границ при десериализации возникает повреждение памяти. Onapsis выявила свыше 10 000 уникальных IP-адресов с доступными из интернета веб-интерфейсами SAP, однако архитектура EPP делает уязвимыми и внутренние серверы через стандартные протоколы взаимодействия SAP GUI и RFC.

Полноценное устранение уязвимости требует обновления ядра по бюллетеню SAP Security Note 3747649, на который ссылается европейский координационный центр CERT-EU. До установки официального исправления организациям необходимы полная инвентаризация затронутых компонентов, изоляция систем и непрерывный мониторинг попыток эксплуатации. Компенсирующие меры снижают риск сетевого проникновения, однако сам уязвимый код не исправляют.

Руководитель группы инфраструктурной безопасности компании Positive Technologies Павел Попов выделил три первоочередных шага для организаций, которые всё ещё используют зарубежные ERP-системы без поддержки вендора:

▪️Провести инвентаризацию активов, поскольку каждая третья компания не уверена, что знает свою инфраструктуру;
▪️Убрать ERP-системы с периметра и ограничить доступ к ним внутри сети сегментацией и компенсирующими мерами;
▪️Приоритизировать уязвимости не по CVSS (Common Vulnerability Scoring System), а по реальным путям атак. Параллельно важно планировать миграцию - система без обновлений с каждым месяцем обходится дороже.

Главный эксперт Центра информационной безопасности АНО «Университет Иннополис» Михаил Серегин разъяснил корреспонденту ComNews, что предприятиям с критической зависимостью бизнес-процессов от зарубежных ERP необходимо рассматривать переход на отечественные либо иные решения, для которых сохраняются законные возможности лицензирования, сопровождения и получения обновлений безопасности.

✋ @Russian_OSINT