Schwachstellen im RFC-Protokoll Angriffe auf Remote Function Calls gefährden SAP-Systeme

Anbieter zum Thema

SAP SE

SEC Consult Unternehmensberatung GmbH

PresseBox - unn | UNITED NEWS NETWORK GmbH

FTAPI Software GmbH

Pathlock Deutschland | akquinet enterprise solutions GmbH

Massive Schwachstellen beim Remote Function Call Protokoll (RFC) von SAP hat der österreichische Sicherheitsspezialist SEC Consult im „SAP Netweaver ABAP“-Application Server und in der dazugehörigen ABAP-Plattform aufgedeckt. Patches der SAP sind verfügbar, zusätzlich ist aber eine Rekonfiguration der Systeme nötig.

Kommunikationsdrehscheibe: Remote Function Calls sind seit Jahrzehnten die Standardschnittstelle zwischen Anwendungen im SAP-Umfeld. Das proprietäre Kommunikationsprotokoll RFC kommt überall dort zum Einsatz, wo unterschiedliche Systeme miteinander verbunden sind. Da sich mittels RFC sich Funktionen innerhalb und außerhalb der SAP-Landschaft ansprechen lassen, hat RFC angesichts der steigende Vernetzung in den vergangenen Jahren stetig an Bedeutung gewonnen.

SAP RFC ist eine Erweiterung von CALL FUNCTION in einer verteilten Umgebung, die es ermöglicht, Funktionen in entfernten Systemen aufzurufen. Dabei wird RFC einerseits als Synonym für das Remote Procedure Call-Konzept (RPC) verstanden, das den Aufruf von Funktionen in einem entfernten System bezeichnet. Andererseits ist RFC auch der Überbegriff für die SAP-eigenen Protokolle und Schnittstellen, die zur Abwicklung bis hin zur Implementierung der Funktionsaufrufe dienen.

Routinen zur Kommunikation mit Remote-Systemen

SAP unterscheidet zwischen einem RFC-Client und einem RFC-Server. Der RFC-Client ist die Instanz, die die RFC-Schnittstelle aufruft, um den Funktionsbaustein (RFC-Funktionen) auszuführen, der von einem RFC-Server bereitgestellt wird. Bei einem RFC-Aufruf übernimmt die dazugehörige Schnittstelle zum einen das Konvertieren sämtlicher Parameter in die im entfernten System benötigte Darstellung.

Dies beinhaltet das Konvertieren von Zeichenketten und alle erforderlichen Hardware-abhängigen Konvertierungen. Des Weiteren übernimmt die RFC-Schnittstelle sowohl den Aufruf der zur Kommunikation mit dem entfernten System nötigen Routinen als auch die Handhabung der bei der Kommunikation auftretenden Fehler.

Die Einsatzmöglichkeiten für Remote Function Calls sind breit gefächert: Daten können in ein SAP-System hinein- oder heraustransportiert und in nahezu jedem beliebigen Umfeld verfügbar gemacht werden. Ein wichtiger Anwendungszweck ist die Abwicklung von Transaktionen über Systemgrenzen hinweg, beispielsweise für die Replikation und das Synchronisieren von Datenbeständen.

Vier Bereiche haben Sicherheitslücken

Das 'Vulnerability Lab' des Sicherheitsspezialisten SEC Consult hat bereits vor zwei Jahren mehrere Schwachstellen im Design und der Implementierung des RFC-Interface entdeckt und deren Beschreibung inklusive der nötigen Gegenmaßnahmen auf der diesjährigen „Troopers Security Conference“ vorgestellt. Die Sicherheitslücken und Programmierfehler betreffen vier Bereiche: den systeminterne für den Nachrichtenaustausch, die Identitätsverwaltung, das AutoABAP/bgRFC Interface und die Verschlüsselungsroutine.

„Ein Kommunikationspartner, der einen Remote Function Call von einem verwundbaren System enthält, kann in einer RFC-Loopback-Attacke die Log-In-Informationen nutzen um sich eine vertrauenswürdige Identität zu verschaffen und damit auf geschützte Informationen zuzugreifen“, erläutert Fabian Hagg, Experte für SAP Sicherheit bei SEC Consult das Gefahrenpotenzial.

Patches einspielen – Server neu konfigurieren

Um die Sicherheitslücken zu schließen, hat die SAP mehrere Patches bereitgestellt:

• SAP Note 3224161 - Prerequisites for Note 3089413

• SAP Note 3281854 - FAQ for Security Note 3089413

• SAP Note 3157268 - How-To-Guide: Migration of Trusted/Trusting Relationships

• SAP Support Wiki: Security Notes Webinar 2023-01 – Note 3089413 - Capture-replay vulnerability in SAP NetWeaver AS for ABAP and ABAP Platform

• SAP Support Wiki: Security Notes Webinar 2023-02 – Note 3089413 - Capture-replay vulnerability in SAP NetWeaver AS for ABAP and ABAP Platform (reloaded)

„Unternehmen sollten die betroffenen Software-Komponenten dringend updaten und zudem die nötigen Änderungen an der Konfiguration durchführen, um ihre Systemlandschaft gegen die Angriffsvektoren abzusichern“, erläutert Hagg. „Wo kein kurzfristiges Patching möglich ist, rate ich dazu, bei den betroffenen Servern den Netzzugriff für RFC und http soweit wie möglich einzuschränken.“

Die detaillierte Beschreibung des Patching-Vorgangs einschließlich der danach nötigen Rekonfiguration der betroffenen Systeme beschreibt SEC Consult in einem Whitepaper, das hier kostenlos zum Download erhältlich ist.

(ID:49621012)