Pages

Thursday, August 8, 2013

SAP's Backdoor

SAP security research is one of my basic duties in Positive Technologies. Moreover, I had to think of what I would speak about to the participants of our PHDays III forum. Thus, I came to the following subject of research: how to hide a user with the SAP_ALL profile (i.e. all possible authorizations) in the system. If a malicious user manages to log in to the system and get the authorization to create users and assign privileges to them, then his next most probable step is to create a new account for himself, of course with all authorizations in the system. However, this user is listed in the results of internal checks and external audits, and there is zero chance that a user with SAP_ALL authorizations will not arouse any interest.

So, let's start. I considered two vectors of my research:

  1. To cheat reports checking user authorizations, that can be done using nested profiles, reference users, roles, profile copies, etc. 
  2. If you ask a SAP specialist how to list users having some particular authorizations, he will advise to use transaction SUIM, Report RSUSR002, which are almost the same. Therefore, we have the following idea: based on analysis of ABAP code of Report RSUSR002 you should create a mechanism to bypass the report algorithm and hide the user.
The first vector is covered in my presentation; the second one will be discussed below.

So, let's have a look at the logics of the report. It is simple: you take the list of all user accounts and check each user for the given authorizations. If a user does not comply with the search criteria he is deleted from the list. It seems very simple but... the following line attracted our attention in the course of analysis:


A user with mysterious name '............' (12 dots) is removed from the list. Let's check our assumption in practice. We will create a user with the name consisting of 12 dots, assign him different roles and profiles, and then check the report results. As we expected, there is no such username in the report results!

It is interesting, why this was implemented by the SAP vendor. Actually, I cannot answer this question. May be this user was created during generation of EARLYWATCH reports and served some particular purpose in the system?..

The following CVSS vector was formed for the vulnerability:

CVSS Base Score: 4.6
CVSS Base Vector: AV:N/AC:H/AU:S/C:P/I:P/A:P

As you can see, the severity level is not high, but it is distressing to know that the vendor of the system, where you store and process all your critical business data, has left such a back door which helps to conceal some specially crafted users. What was in fact the purpose of that?

Actually, the situation is not so bad. The patch fixing this vulnerability was released in June 2013: see SAP Note 1844202. To fix the bug you have to download the patch and implement it in your system.

As you can see from the table below, the correction was released for all existing SAP_BASIS components starting from Release 46B. In other words, if you have not updated your system yet, then this vulnerability will be for sure in your system.

That's in fact all I wanted to tell. I recommend you to implement the Note which was initiated by your humble servant :)

SAP Security note 1844202: https://service.sap.com/sap/support/notes/1844202

P. S. Slides from PHDays:



Author: Dmitry Gutsko, Positive Research.

31 comments:

  1. This comment has been removed by a blog administrator.

    ReplyDelete
  2. This really nice article.

    Currently I am working SAP secure programming guide line and I am very curious to try "Access Other SAP". I am not able to found DOS command "docRstore.exe". Requesting you to please guide me how to use this command.

    Thanks,
    NJ

    ReplyDelete
  3. Thanks for sharing this great source full of sap securityrelated posts.realy great work onece again thanks me and smartmindonlinetraining.

    ReplyDelete
  4. thanks for sharing this grateful information..we are giving the best SAP BASIS ONLINE TRAINING..

    ReplyDelete
  5. Applepackersgroup provides best SEO Services like…
    Household Moving
    International Shifting
    Loading and Unloading
    Office Shifting
    Packing and Moving
    Transportation Services

    http://applepackersgroup.com/
    http://applepackersgroup.com/index.html
    http://applepackersgroup.com/packers-and-movers-rajkot.html
    http://applepackersgroup.com/packers-and-movers-valsad.html
    http://applepackersgroup.com/packers-and-movers-bharuch.html
    http://applepackersgroup.com/packers-and-movers-banaskantha.html
    http://applepackersgroup.com/packers-and-movers-surat.html
    http://applepackersgroup.com/packers-and-movers-gandhinagar.html
    http://applepackersgroup.com/packers-and-movers-jamnagar.html
    http://applepackersgroup.com/packers-and-movers-navsari.html
    http://applepackersgroup.com/packers-and-movers-vapi.html
    http://applepackersgroup.com/packers-and-movers-vadodara.html
    http://applepackersgroup.com/packers-and-movers-bhavnagar.html
    http://applepackersgroup.com/packers-and-movers-anand.html
    http://applepackersgroup.com/packers-and-movers-narmada.html
    http://applepackersgroup.com/packers-and-movers-panchmahal.html
    http://applepackersgroup.com/packers-and-movers-gandhidham.html
    http://applepackersgroup.com/packers-and-movers-junagadh.html
    http://applepackersgroup.com/packers-and-movers-kutch.html
    http://applepackersgroup.com/packers-and-movers-porbandar.html
    http://applepackersgroup.com/packers-and-movers-kheda.html

    ReplyDelete
  6. thank u for sharing such a useful information... if u want to promote your business than plzz have a look..

    http://hojayga.com/
    http://hojayga.com/cities/b2bdatabaseproviderinup.php
    http://hojayga.com/cities/b2bdatabaseproviderinlucknow.php
    http://hojayga.com/cities/b2bdatabaseproviderinkanpur.php
    http://hojayga.com/cities/b2bdatabaseprovideringhaziabad.php
    http://hojayga.com/cities/b2bdatabaseproviderinagra.php
    http://hojayga.com/cities/b2bdatabaseproviderinmeerut.php
    http://hojayga.com/cities/b2bdatabaseproviderinrajasthan.php
    http://hojayga.com/cities/b2bdatabaseproviderinjaipur.php
    http://hojayga.com/cities/b2bdatabaseproviderinjodhpur.php
    http://hojayga.com/cities/b2bdatabaseproviderinajmer.php
    http://hojayga.com/cities/b2bdatabaseproviderinudaipur.php
    http://hojayga.com/cities/b2bdatabaseproviderinalwar.php

    ReplyDelete
  7. Hi sir, you provided great info on sap it is interesting and useful for the people who are looking for sap, it is right place to get info on sap, thanks a lot for sharing info.Sap sd training tutorials | Master data in sap

    ReplyDelete
  8. Very interesting blog. Alot of blogs I see these days don't really provide anything that I'm interested in, but I'm most definately interested in this one. Just thought that I would post and let you know.
    geometry dash| sniper games |happy wheels demo | happy wheels 2 |agario| five nights at freddy's

    ReplyDelete
  9. This comment has been removed by the author.

    ReplyDelete
  10. شركة نقل اثاث بالدمام التفاؤل شركة نقل اثاث بالخبر كما انها افضل شركة نقل اثاث بالجبيل نقل عفش واثاث بالجبيل والخبر والقطيف والدمام
    شركة نقل اثاث بالدمام
    شركة نقل اثاث بالجبيل
    شركة نقل اثاث بالقطيف
    شركة مكافحة حشرات بالدمام
    شركة نظافه بالدمام
    شركة تنظيف منازل بالدمام
    شركة غسيل خزانات بالدمام

    ReplyDelete

  11. فرسان النيل هى الاولى فى نقل العفش بالدمام هي شركة نقل عفش بالخبر وشركة نقل عفش بالجبيل والدمام وشركة نقل عفش بالقطيف والدمام وشركة نقل عفش بالاحساء وشركة نقل عفش بقيق وراس التنورة
    شركة نقل عفش بالدمام
    شركة نقل اثاث بالدمام
    شركة نقل عفش بالجبيل
    شركة نقل عفش بالخبر
    شركة نقل عفش بالقطيف
    شركة تنظيف بالجبيل

    ReplyDelete
  12. Your article has piqued a lot of positive interest. I can see why since you have done such a good job of making it interesting. play angry birds - angry birds play - truck play - subway surfers play - baby hazel play - sonic play - super mario play - looney tunes play - minecraft play - subway surfers - super smash flash 2

    ReplyDelete
  13. لا داعى للقلق وانت تتعامل مع شركة اركان المملكه للتنظيف والمكافحه والتسليك
    وغير ذالك من كافه انواع التنظيف فى المملكه السعوديه باكملها اذا
    كل ما عليكم هو زياره صفحتنا للتطلع على اقل الاسعار المتاحه
    والتى تفى احتياجاتكم الخاصه
    0544369605

    شركة كشف تسربات المياه بالدمام

    تسليك مجارى بالدمام

    شركة تنظيف بالدمام

    شركة تنظيف شقق بالدمام

    شركة مكافحة حشرات بالدمام

    اتصلوا بنا دائما تجدونا فى كل وقت وكل مكان
    لاننا نتعامل بمنتهى الدقه والفعاله والاهميه الكبيره مع شركة
    اركان المملكه لاداعى للقلق نحن معك دائما

    ReplyDelete
  14. مع اركان المملكه انت الافضل دائما وهكذا نتعامل بكل صدق والعمل الجاد والوافر فى هذا المجال مجال التنظيف
    شركة تنظيف بالاحساءاذا معنا انت فى ايدى امينه نتعامل معك باقل الاسعار الممكنه فى كافه المجالات
    اذا اتصلوا نصلكم فى كل وقت وكل مكان لدينا الامكانيات الوفيره والكامله من اجل العمل الجاد والدئوب
    العمل بامانه سمه من سمات شركة اركان المملكه التى لها باع طويل فلى العمل اليومى والفعالشركة مكافحه حشرات بالاحساءاذا نحن نتقدم اليك باقل السعار المتاحه والممكنه فى مجال التنظيف والمكافحه على حد سواء
    اتصلوا نصلكم فى كل وقت وكل مكان فى كافه ارجاء المملكه السعوديهشركة تنظيف بالطائفمعنا انت الافضل دائما بالمملكه نقدم لكم العمل الجاد والهادف والفعال

    ReplyDelete
  15. مع شركة اركان المملكه للتنظيف,ومكافحه الحشرات,وكشف التسربات,وتسليك المجارى,ونقل العفش,وتنظيف البيوت انت
    شركة تنظيف منازل بخميس مشيط
    تتعامل مع افضل شركة بالمملكه ككل لانها تتعامل باقل الاسعار المتاحه فى مجال العمل
    شركة كشف تسربات المياه بخميس مشيط
    ونحن نوفر لك كل ما هو جديد وبخصم 30%فى مجال الحساب اذا معنا انت فى كل امان ممكن
    اتصل بشركة اركان المملكه لانها الافضل دائما فى كل المجالات
    شركة تسليك مجارى بخميس مشيط
    هكذا شركة اركان المملكه تقدم الخدمه الممتازه التى بدونها لا تستطيعوا العمل الجاد
    اننا نتعامل بالافضليه الكامله لاننا نتعامل بكل الاسعار البسيطه والممكنه
    شركة مكافحه حشرات بخميس مشيط
    نتعامل باقل الاسعار الممكنه والممتاحه فى هذا المجال وخاصه مدينه خميس مشيط
    شركة نقل عفش بخميس مشيط
    تحت شعار الراحه الكامله والاداء المتميز والخدمه طول اليوم
    معنا انت فى كل امان اتصل نصلك اينما كنت

    ReplyDelete
  16. لا داعى للقلق وانت تتعامل مع شركة اركان المملكه للتنظيف والمكافحه والتسليك
    وغير ذالك من كافه انواع التنظيف فى المملكه السعوديه باكملها اذا
    كل ما عليكم هو زياره صفحتنا للتطلع على اقل الاسعار المتاحه
    والتى تفى احتياجاتكم الخاصه
    0544369605
    شركة كشف تسربات المياه بابها
    شركة تسليك مجارى بابها
    شركة مكافحة حشرات بابها
    شركة تنظيف بابها
    شركة تنظيف فلل بابها
    شركة تنظيف منازل بابها
    اتصلوا بنا دائما تجدونا فى كل وقت وكل مكان
    لاننا نتعامل بمنتهى الدقه والفعاله والاهميه الكبيره مع شركة
    اركان المملكه لاداعى للقلق نحن معك دائما
    مع شركة اركان المملكه انت فى ايدى امينه لاننا بكل امان وحرفيه فى كافه المجالات الحديثه والعصريه
    شركة كشف تسربات المياه بجازان
    لدينا الخبره الكبيره فى مجال كشف التسربات اليوميه والتى من الافضل الاهتمام الكامل والشامل بها
    شركة نقل اثاث بجازان
    هكذا نحن معك دائما فى مجال التسليك والمكافحه فى كل وقت وكل مكان ندعمك بكل جهد
    شركة تسليك مجارى بجازان
    وايضا فى مدينه نجران لسنا الوحيدون ولكننا متميزون عن غيرنا فى كافه المجالات
    شركة تسليك مجارى بنجران
    ولدينا الخبره الطويله فى رش المبيدات والمكافحه بكل وقت وكل مكان
    شركة رش مبيدات بجازان
    ولدينا ايضا باع طويل فى المقاولات لاننا شركة متماسكه ولها الافضليه الكبيره فى هذا المجال
    شركة مقاولات بجازان
    نتعامل باقل الاسعار الممكنه والمتاحه لدى العميل والوصول الى الدقه الكامله

    ReplyDelete
  17. Thanks for sharing useful information for us.I really enjoyed reading your blog, you have lots of great content.
    Packers And Movers Hyderabad
    In loading and unloading is done carefully by experienced workers. In addition, hyderabad packers and movers unpacks the delivery at the target, very efficiently & with maximum care.

    ReplyDelete