Уязвимость в SAP AS Java: ошибка RECON

Сегодняшний пост будет про безопасность, а именно про уязвимость RECON.

Если вы внимательно следите за медиа-ресурсами, то про новую "страшную" дыру в безопасности SAP под названием RECON, наверняка, слышали. Но проблема в том, что часть журналистов, как обычно, "слышала звон и спала в одном ботинке...".

Давайте разбираться вместе.

1. Дыра есть - это факт. Ошибка RECON является серьёзной. Это одна из тех редких уязвимостей, которые получили максимум 10 из 10 оценок по шкале серьезности уязвимостей CVSSv3.
2. Уязвимость проста в использовании и находится в компоненте, которая по умолчанию включена в каждую SAP систему, в которой работает Java стек SAP NetWeaver. А именно, в компоненте мастера настройки LM (LM Configuration Wizard) сервера приложений SAP NetWeaver.
3. Подвержены "дыре" AS Java системы с версии 7.3 до самых новых. Про более древние ничего не говорят (они уже давно EOL), но возможно и с ними есть проблемы. Для тех, кто не помнит, SAP системы в основном представлены 3 основными типами платформ: AS ABAP (ECC/BW), AS Java и HANA. Есть ещё экзотика, типа BusinesObjects или Hybris, но их удельный вес настолько мал, что про них можно забыть. Таким образом, уязвимость охватывает системы SAP S/4HANA, SAP SCM, SAP CRM, SAP Enterprise Portal и SAP Solution Manager. Во всех них встречается AS Java часть.
4. Используя ошибку, можно получить доступ к системе, просто создав учетную запись пользователя SAP с максимальными привилегиями для приложений SAP, представленных в Интернете. 

Поэтому, на наш взгляд, стоит обратить внимание на данную проблему. Если AS Java у вас в ландшафтах отсутствует, то тогда можно расслабиться. А если же, ваша AS Java часть системы смотрит в сеть Интернет (и доступна из него!), то сразу стоит остановить службу LM (SAP note 2939665). А после этого стоит остановить Java системы и пропатчить их (SAP note 2934135).

Описание проблемы в SAP note 2947895 - RECON - SAP Vulnerability.

Закрытие дыры и патчи описаны в SAP note 2939665 - Disable/Enable LM Configuration Wizard | Critical API's in LM Configuration Wizard и SAP note 2934135 - [CVE-2020-6287] Multiple Vulnerabilities in SAP NetWeaver AS JAVA (LM Configuration Wizard).

После этого уже никакой RECON вам будет не страшен!


Авторы: Бондарев Дмитрий, Шиболов Вячеслав Анатольевич

ADM800: ощущения, памятка

Как я уже писал в своём блоге, в начале декабря 2016 года я посетил в учебном центре SAP в Москве курс "ADM800 - Администрирование AS Java". За что еще раз спасибо порталу SAPLand и всем кто голосовал за меня.

В далеком 2008 году, когда я начинал вести этот блог, я посещал курс ADM200, который был посвящен так же вопросам администрирования серверов приложений Java. ADM200 был основан на версии SAP NetWeaver 7.0. 

В версию системы SAP NetWeaver 7.1, в части AS Java, были внесены большие изменения, поэтому курс был переименован в ADM800. Сначала он был по версии SAP NetWeaver AS Java 7.1, потом 7.3. Та версия, которую посещал я, основана уже на SAP NetWeaver 7.4. Внутренняя версия курса 16, версия материалов 50130664, год печати: 2015.

Нонсенс, но преподавателем был опять Мингалев Владимир. Очень хороший специалист, с богатым опытом и, самое главное, хороший преподаватель.

Отлично организованная практическая часть: отдельные виртуальные машины, полные ландшафты нескольких систем - SAP EP 7.40 (3 системы), Solution Manager 7.1 (Dual Stack), SAP NWDI 7.40. Доступ на все уровни (операционная система, база данных, SAP часть). Интернет, кофе, печеньки, удобный и продуманный учебный центр. Всё на высоте, как обычно.

Слушатели все были с хорошим опытом, поэтому семинар прошел на одной волне.

Теперь ближе к самому курсу: основные моменты, которые я вынес из этих 5 дней.

Упор компании SAP на Java уходит, остается только для ADS, PO (он же PI), Portal, как часть Solution Manager и SAP NetWeaver SSO. Сейчас разворот в сторону SAP HANA, а Web-технологии прекрасно реализуются через UI5 и Fiori. Всё со слов Владимира. 

Это не означает, что Java в новых системах нет, это означает, что когда-то у компании SAP был курс на Web-технологии и, Java была флагманской технологией. Ею пугали ABAP-ов, предлагая срочно переквалифицироваться в Java-программистов. Но виток истории прошел. Все остыли. Жизнь движется дальше. ABAP остался. Java тоже заняла своё место.

С версии SAP NetWeaver AS Java 7.1 исчезли:

- SDM (вместо него ICM или Internet Communication Manager),

- JSP (обновление компонент производится другими инструментами, например, SUM),

- Java dispatcher (вместо него ICM, использующий алгоритм «round robin»).

Начиная с версии SAP NetWeaver 7.1, Start Profile был убран из конфигурации, а его параметры перемещены в Instance Profile.

C версии SAP NetWeaver AS Java 7.1 была внедрена концепция Zero Administration – автоматическая конфигурация памяти и количества Server Processes при установке системы по количеству ресурсов (CPU, memory). Количество Java Server Processes до 16, но рекомендуемое количество не больше 8-10.

Дополнительно Владимир рассказал про схему ADS, концепцию выбора UserID для логина в систему.

Все подробности можно найти в моей памятке и заметках по курсу ADM800. 

Автор: Шиболов Вячеслав Анатольевич

Обновление SAP Solution Manager 7.1 с помощью Software Update Manager 1.0 SP18.1

Про обновление SAP системы я писал в посте "Обновление SAP системы с помощью Software Update Manager 1.0".

В нём я описывал "ручной" способ и с помощью утилиты SAP Software Update Manager 1.0. В прошлый раз была использована старая версия утилиты (SP14). С новым пакетом поддержки были внесены изменения. Прежде всего в плане интерфейса и запуска утилиты.

Выкладываю новую инструкцию - Обновление SAP Solution Manager 7.1 на платформе SLES 12 SP1/Oracle 12c с SPS04 до SPS14 с использованием Software Update Manager 1.0 SP18.1.

В данной инструкции по обновлению, в отличии от прошлой, используется другая платформа - Linux, версия утилиты самая последняя - SP18.1. Обновляется система SAP Solution Manager 7.1 со стеком пакетов поддержки, который содержит система сразу после установки (SPS 04).

Скачать можно по этой ссылке (zip-архив, 5268 Кб).

P.S. Недавно вышел SPS 15 для системы SAP Solution Manager 7.1, об обновлении на который обязательно будет отдельный пост.


Автор: Шиболов Вячеслав Анатольевич

Моя инструкция: установка SAP Solution Manager 7.1 на Linux

Как вы знаете, на этом блоге есть страничка, на которой я выкладываю инструкции собственного изготовления по установке, настройке, копированию и обновлению SAP систем.

Страничку можно найти здесь.

Сегодня очередное обновление материалов. Выложил инструкцию по установке системы SAP Solution Manager 7.1 на платформу Linux/Oracle.

В качестве операционной системы я выбрал SUSE Linux Enterprise Server, об установке и настройке которой я писал в этом посте.

Чем данная инструкция отличается от, например, этой:

• операционная система Linux, причем не Oracle Linux, которую я использовал в нескольких инсталляциях, а SLES 12 SP1,
• последняя версия СУБД от ORACLE, то есть полный процесс установки и обновления версии 12.1.0.2,
• установка ABAP+Java стэков с помощью SAP Software Provisioning Manager последней версии (SP18),
• настройка SAP Management Console в SLES (установка Oracle Java).

Документ не охватывает процесс обновления системы, поэтому 36 страниц. Но, как обычно, список необходимой документации и SAP нот и, конечно, подробные скриншоты процесса.

Скачать можно по этой ссылке (zip-архив, 5128 Кб).

SAP подстегивает всех в следующем, 2017 году, переходить на SAP Solution Manager 7.2: поддержка версии 7.1 заканчивается в декабре 2017 года. Но опытные администраторы торопиться не любят. :)

О нововведениях в версии 7.2 можно послушать, например, в этом вебинаре.


Автор: Шиболов Вячеслав Анатольевич

Обновление SAP системы с помощью Software Update Manager 1.0

Когда SAP системы были большими простыми, когда была только ABAP часть системы, а слова "Java" и "SAP" никто и не думал произносить вместе, администратор обновлял систему поэтапно, не спеша, смакуя каждый шаг:

1. Сначала, обновлялась утилита SPAM/SAINT. Для этого использовалась транзакция SPAM.
2. Затем обновлялось ядро системы - SAP Kernel. 
3. Если было необходимо установить/обновить дополнения (Add-on), то использовалась транзакция SAINT.
4. Ну и в конце, с помощью транзакции SPAM, заряжались очереди пакетов поддержки для той или иной компоненты системы и, производился импорт.

Когда в ABAP части системы стало больше компонент, SAP начал выпускать (1-2 раза в полгода) стеки пакетов поддержки, или Support Package Stack (SPS). Это некий набор пакетов поддержки или, скорее, рекомендации по одновременному обновлению всех компонент системы с рекомендуемым уровнем SAP Kernel. Данный механизм облегчил скачивание, установку и отслеживание пакетов поддержки для всех компонент системы, при этом обеспечивая гарантию работы системы после обновления. Про это я писал тут.

Когда появилась JAVA часть системы, то обновление её так же легло на плечи администратора. Изначально, для этих целей использовалась утилита JSPM. 

Пример обновления системы на базе SAP NetWeaver 7.0 (ABAP+JAVA) я приводил в этом посте.

На данный момент существует утилита SAP Software Update Manager или просто SUM. Последняя версия утилиты 1.0 SP15. 

Одно из назначений SUM - это обновление ABAP и JAVA стеков системы. И если ABAP часть системы можно обновлять по-старинке, через транзакции SPAM/SAINT, то для обновления JAVA стека системы использование JSPM уже категорически не рекомендуется. Только SUM.

Для скачивания утилиты SUM 1.0 необходимо войти на SAP Support Portal по ссылке http://service.sap.com/sltoolset, там перейти по ссылке «Software Logistics Toolset 1.0» и в разделе «General Information» скачать последнюю версию (рис. 1). 

Рис. 1. Загрузка утилиты Software Update Manager.

Документация к утилите доступна там же, в разделе «Documentation → System Maintenance → Updating SAP Systems Using Software Update Manager 1.0 SP14». При скачивании необходимо выбрать нужную платформу (операционная система и база данных) (рис. 2).

Рис. 2. Загрузка документации по утилите Software Update Manager.

Скачивание утилиты, как и обычно, через SAP Download Manager.

Для установки или обновления (в случае присутствия старой версии) утилиты Software Update Manager 1.0 необходимо распаковать загруженный SAR-архив в директорию \usr\sap\<SAPSID>\SUM, выполнив команду вида (пример, MS Windows):

 > SAPCAR –xvf <SUM_archive>.SAR -R \usr\sap\<SAPSID> 

Учтите, утилита большая и время распаковки приличное. :)

Запуск осуществляется со стороны сервера и со стороны клиента. Серверная часть активируется через запуск из под пользователя Administrator (для MS Windows) исполняемого файла "\usr\sap\<SAPSID>\SUM\STARTUP.BAT" (рис. 3).

Рис. 3. Старт серверной части утилиты SUM 1.0.

Клиентская часть представляет собой Java-приложение (рис. 4), которое запускается через браузер, по URL вида:

http://<server_host>:4329

Рис. 4. Пример экрана утилиты SUM 1.0.

Основные требования:

• так как при работе Software Update Manager используется SAP Host Agent, то его необходимо обновить вручную. Подробности можно найти тут.
• все части SAP системы должны быть запущены.

Полезные SAP ноты по утилите:

• SAP note # 2084104 - Central Note - Software Update Manager 1.0 SP14,
• SAP note # 2115547 - Oracle: Add. Information - Software Update Manager 1.0 SP14.

Мои ощущения от использования утилиты противоречивые. Я как, старый солдат, не знающий слов любви (с), люблю контролировать все этапы процесса. А здесь, по сути, за работой утилиты происходит тоже самое, что и при по-этапном обновлении. Единственное нововведение: создание клона табличного пространства с программами (PSAPSR3XXX) и импорт обновлений в него, с последующим переключением на него, как на основное. Таким образом, снижается время недоступности (down-time) системы, но вырастают требования к месту на жестком диске.

Ну и напоследок, пример обновления системы SAP Solution Manager 7.1 на платформе MS Windows/Oracle с SPS11 до SPS14 с использованием Software Update Manager 1.0 SP14. Детальная инструкция объемом 41 страница, в которой описана процедура обновления вышеуказанной системы (ABAP+JAVA) с начала и до конца:

1. Скачивание необходимых пакетов поддержки, утилит, документации.
2. Обновление SAP Host Agent, Software Update Manager 1.0 SP14.
3. Обновление CR Content и модели для SLD.
4. Прохождение всех этапов обновления ABAP+JAVA стеков системы с решением проблем.
5. Шаги, необходимые после обновления (удаление старого табличного пространства).

Скачать можно по этой ссылке (zip-архив, 3881 Кб).

Так же обновил страницу, где собраны все мои личные инструкции.

Если найдете неточности или будут проблемы со скачиванием, пожалуйста, дайте знать письмом на адрес shibolov@gmail.com.

Автор: Шиболов Вячеслав Анатольевич

Как сменить IP адрес на сервере, где установлена SAP система

Задача по смене IP адреса сервера, на котором установлена SAP система, в отличии от смены имени сервера (hostname), не должна вызывать особых затруднений. Это связано с тем, что SAP система для работы чаще использует hostname, которое преобразуется в IP адрес на уровне операционной системы.

Проверить данное преобразование можно вызовом команды niping (рис. 1).

Рис. 1. Преобразование hostname -> IP адрес.

При смене IP адреса сервера со стороны SAP системы нет необходимости в рестарте сервера приложений, достаточно изменить настройки на уровне операционной системы сервера.

Например, на сервере под управлением операционной системой MS Windows сначала необходимо сменить IP в настройках сетевой карты. Далее внести соответствующие изменения в файл C:\Windows\System32\drivers\etc\hosts (рис. 2).

Рис. 2. Файл hosts.

Установка SAP Solution Manager 7.1 в картинках.

В 2009 году вот в этом посте я выкладывал инструкцию по установке SAP Solution Manager 7.0 EHP 1. Нареканий на инструкцию не было, думаю что она еще актуальна и сейчас, и кому-то может помочь.

Но время не стоит на месте и я выкладываю новую документацию:

Установка системы SAP Solution Manager 7.1 на платформу Windows/ORACLE

Новенькое, что можно найти в этой инструкции:

• в качестве платформы была выбрана виртуальная машина на базе ПО ORACLE VirtualBox, о которой я писал тут,
• в качестве операционной системы используется MS Windows Server 2008,
• в инструкции описана установка и обновление ORACLE 11.2.0.3,
• установка ABAP+Java стэков с помощью SAP Software Provisioning Manager, полное обновление и решение проблем, о которых я уже упоминал в этом посте.

Документ получился большой, 81 страница. Скачать можно по этой ссылке (zip-архив, 1910 Кб).

Соответственно, была обновлена страница, где собраны все мои личные инструкции.
Если что-то не можете найти, то добро пожаловать на неё.

Автор: Шиболов Вячеслав Анатольевич

TCP/IP порты, используемые SAP

SAP системы используют TCP/IP порты для взаимодействия с пользователями и с другими системами. Все эти порты описаны в документе, который доступен тут.
Информация актуальна, документ постоянно обновляется. Полнее списка я не видел.

Ну и бонус, единственная, известная мне, книга про администрирование SAP систем на русском языке - Сигрид Хагеман и Лиане Вилл "SAP R/3 системного администрирование". В очень хорошем качестве, разбитая по главам.

Автор: Шиболов Вячеслав Анатольевич

Небольшой апдейт

В результате обновления контента для SLD системы на SAP Solution Manager обновил одноименную инструкцию:

- обновление SAP SLD Software Catalog.

В рамках моего примера была решена задача по обновлению SAP_CR для SLD с версии 5.8 (2010 год) до версии 8.2 (2012 год). В инструкции были переработаны экраны и добавлена ссылка на одну SAP note, которая решает проблему при загрузки большого пакета SAP_CR.

Кто пользуется  - качайте, обновляйте.

Автор: Шиболов Вячеслав Анатольевич

Обновление системы на базе SAP NetWeaver 7.0

Выложена новая инструкция - обновление системы на базе SAP NetWeaver 7.0 (zip-архив, 1558 Кб).

В данной инструкции на примере обновления системы SAP Solution Manager 7.0 EHP 1 с SPS 20 до SPS 27 показано в подробностях обновление ABAP и J2EE стеков системы, установка нового SAP kernel.

Система установлена на MS Windows 2003 Server с ORACLE 10.2.0.4 на платформу x64.
Инструкция в формате pdf, количество страниц - 24.

Автор: Шиболов Вячеслав Анатольевич

SAP System Landscape Directory. Часть III.

В последней части я хочу описать как использовать SLD систему в SAP Solution Manager. В этой системе есть транзакция SMSY, в которой можно вести системный ландшафт.

Данная транзакция может получать данные из SLD. Настройка производится в транзакции SMSY_SETUP.

Необходимо настроить периодические задания (LANDSCAPE FETCH) по переносу данных из SLD. Для этого выберем в транзакции пункт меню "Системный ландшафт -> Запланировать перенос данных из TMS/SLD (F8)".

После выставляем предпочтительное время отработки задания (время работы задания - 9-10 секунд), ставим галочку "Выполнять задание периодически" и задаём значения периодов:

После этого данные с "завидной" периодичностью будут обновляться из SLD.

При возникновении проблем стоит заглянуть в следующие SAP notes:

• note # 0757204 - SMSY: The connection to the SLD server is inactive,
• note # 1042815 - SMSY: Unrequired data replication to SLD, or dump.

Автор: Шиболов Вячеслав Анатольевич

SAP System Landscape Directory. Часть I.

SAP System Landscape Directory (SLD) - Java-приложение, работающее в J2EE части SAP NetWeaver. Служит для хранения данных об аппаратных и программных компонентах всех систем ландшафта. Использует Common Information Model (CIM) стандарт.

При установке системы, которая основана на SAP NetWeaver, SAPInst предлагает следующие варианты:

• зарегистрироваться в существующем SLD,
• создать локальный,
• не использовать SLD.

Если для данной SAP системы необходим SLD, то третьего пункта в SAPInst не будет. К таким системам относятся SAP Solution Manager, SAP Process Integration (PI или XI). SLD сервер также используется при разработке приложений на Java (NWDI). Поэтому как минимум одна система с SLD на проекте будет. Это SAP Solution Manager.
При выборе пункта "Configure a local SLD" необходимо указать имя Object Sever-а (можно указать просто hostname, подробности в SAP note # 935245) и пароли пользователей SLDDSUSER (передача данных в SLD) и SLDAPIUSER (обмен информацией о ландшафте).

При этом SAPInst автоматически настраивает SLD сервер и загружает начальные данные о существующих на данный момент SAP компонентах. Эта процедура привносит свою лепту в количество общего времени установки системы.

При выборе пункта "Register in existing central SLD" необходимо указать пароли уже существующих SLD пользователей и координаты SLD сервера.

Для управления SLD сервером необходимо вбить в Web-браузере URL - http://<host>:<port>/sld, где <host> - host где установлен SLD, <port> - 5XX00, где XX - номер инстанции. Вход под пользователем J2EE_ADMIN.

SAP поставляет обновления CIM модели и содержимого SAP Software Catalog. Примерно раз в квартал необходимо проводить процедуру обновления. Процедура описана тут (zip-архив, 513 Кб).

Автор: Шиболов Вячеслав Анатольевич

SAP Solution Manager 7.0 EHP 1 в картинках. Часть 1. Установка.

Решил я дома освободить место на рабочем столе, ликвидировав домашний компьютер. С помощью комплектующих сделал upgrade домашнего компьютера братишке, а корпус притащил на работу. Продавать жалко, а аквариум делать рука не поднимается. :) И суждено ему было стать основой сервера для внутренних нужд проектной команды. Комплектующие были куплены на деньги родной компании. А мой вклад был в виде системного блока InWin и жгучего энтузиазма. :)

Получилась вот такая системка:
CPU: Intel Core 2 Quad 2,5 Q8300 GHz (4 core),
Memory: 8 Gb,
HDD: 2 x 1000 Gb 7200 rpm.
В качестве операционной системы выбор пал на Windows Server 2003 Datacenter x64 Edition R2 SP2 [ENG].

Для начала решил я установить на мой сервер SAP Solution Manager 7.0 EHP 1. Скачал последние версии установочных дисков для системы на Windows/ORACLE x64 с SAP Support Portal. Инструкции по установке взял тут. Ну и поставил систему. :)
Во время установки и выполнения пост-установочных шагов все записывал в "тетрадочку". Получилась забавная инструкция в картинках по установке SAP Solution Manager 7.0 EHP 1 на платформу x64 под Windows/ORACLE. Мою "тетрадочку" можно (и нужно) скачать здесь (zip-архив, 2746 Кб).

Ну и продолжение истории с сервером для внутренних нужд проектной команды следует... :)

Автор: Шиболов Вячеслав Анатольевич

ADM200. Памятка.

Как и обещал, выкладываю памятку по курсу ADM200, который я посещал в учебном центре SAP AG в конце августа.
Памятка написана по материалам курса ADM200 версии 62, номер материала: 50086306. Инструктором был Мингалев Владимир. Курс основан на системе NetWeaver 7.0.
Памятку можно скачать по этой ссылке. Формат файла PDF в ZIP-архиве.

Я использую такие памятки для следующих целей:

• побочная цель: когда создаешь памятку - повторяешь материал,
• в памятку записываешь вещи, которые инструктор рассказал дополнительно, не в рамках материала курса,
• памятка в электронном виде всегда под рукой, в отличии от бумажной версии,
• по памятке можно быстро освежить материал курса и понять что можно найти в материалах.

Вы можете использовать эту памятку на свое усмотрение. :-)

Автор: Шиболов Вячеслав Анатольевич