Falla di sicurezza in SAP Commerce Cloud consente l'esecuzione remota di codice non autenticata

È stata segnalata una grave debolezza di sicurezza in SAP Commerce Cloud, una piattaforma di e-commerce aziendale ampiamente utilizzata. La falla potrebbe consentire a un utente malintenzionato non autenticato, ovvero qualcuno che non ha effettuato l'accesso e non possiede un account valido, di eseguire codice arbitrario su un sistema vulnerabile. In termini pratici, ciò significa che un intruso remoto potrebbe eseguire programmi dannosi a sua scelta sul server che ospita un negozio online, senza bisogno di una password o di alcun accesso precedente.

SAP Commerce Cloud è una soluzione completa di commercio digitale utilizzata da molti grandi rivenditori e aziende B2B per gestire cataloghi di prodotti, prezzi, account clienti, carrelli della spesa e pagamenti online. Poiché la piattaforma gestisce dati altamente sensibili, inclusi informazioni personali e dettagli di pagamento, una vulnerabilità che consente l'esecuzione remota di codice è particolarmente pericolosa. Se un utente malintenzionato può eseguire codice arbitrario, può potenzialmente leggere o modificare il database del negozio, rubare i dati dei clienti, installare malware o assumere il controllo completo del sito di e-commerce.

Per comprendere il rischio, è utile analizzare i termini. "Non autenticato" significa che l'attaccante non ha bisogno di fornire un nome utente o una password. Può sfruttare la falla sulla rete senza alcun accesso preliminare. "Esecuzione di codice arbitrario" significa che l'attaccante può far eseguire al server qualsiasi comando software desideri, agendo di fatto come proprietario del server. Questa è una delle categorie più gravi di vulnerabilità software perché può portare a un compromesso completo del sistema. I dettagli tecnici esatti di come funziona questa specifica falla di SAP Commerce Cloud non sono stati completamente divulgati nel rapporto iniziale, ma tali difetti spesso derivano da una gestione impropria dell'input dell'utente, da una deserializzazione debole o da caricamenti di file non sicuri.

Per le organizzazioni che fanno affidamento su SAP Commerce Cloud, le potenziali conseguenze sono gravi. Un attacco riuscito potrebbe portare al furto di nomi, indirizzi, numeri di carta di credito e cronologie degli ordini dei clienti. Potrebbe anche consentire agli attaccanti di deturpare la vetrina, reindirizzare gli acquirenti verso siti web dannosi o utilizzare il server compromesso per lanciare ulteriori attacchi. Poiché molte aziende di e-commerce operano 24 ore su 24 e dipendono dalla fiducia dei clienti, anche un breve periodo di inattività o una violazione pubblica dei dati può causare danni finanziari e reputazionali significativi. Anche gli obblighi di conformità come il Payment Card Industry Data Security Standard (PCI DSS) potrebbero essere violati, portando a multe e responsabilità legali.

Il passo immediato più importante per qualsiasi azienda che utilizza SAP Commerce Cloud è verificare con SAP o con il proprio team IT la disponibilità di una patch di sicurezza ufficiale e applicarla il prima possibile. SAP rilascia regolarmente note di sicurezza e aggiornamenti, e i fornitori in genere forniscono correzioni prima di divulgare pubblicamente le falle. Inoltre, le organizzazioni dovrebbero rivedere i log del server web per attività insolite, limitare l'accesso alle interfacce amministrative e prendere in considerazione l'uso di un firewall per applicazioni web (WAF), un filtro di sicurezza che si pone davanti a un sito web e blocca i modelli di traffico dannosi. Anche i backup regolari archiviati offline sono fondamentali, perché consentono un rapido ripristino in caso di attacco.

Per le aziende che necessitano di assistenza per rimanere al passo con tali problemi di sicurezza, AEU-I fornisce servizi di consulenza IT e infrastrutture incentrati sulla sicurezza che possono aiutare con la gestione delle patch, le valutazioni della sicurezza e l'hardening delle piattaforme di e-commerce contro le vulnerabilità note. Sebbene ogni fornitore di software abbia la responsabilità di rilasciare correzioni, la protezione nel mondo reale dei negozi online dipende dall'azione tempestiva delle aziende che li gestiscono.