{"id":166670,"date":"2026-10-01T10:00:00","date_gmt":"2026-10-01T08:00:00","guid":{"rendered":"https:\/\/e3mag.com\/?p=166670"},"modified":"2026-09-28T10:45:19","modified_gmt":"2026-09-28T08:45:19","slug":"finie-la-carte-blanche-dacces-au-systeme-dexploitation-detecter-et-contenir-les-attaques-visant-les-environnements-sap","status":"publish","type":"post","link":"https:\/\/e3mag.com\/fr\/schluss-mit-dem-freifahrtschein-ins-betriebssystem-angriffe-auf-sap-umgebungen-erkennen-und-eindaemmen\/","title":{"rendered":"Finie la libre circulation dans le syst\u00e8me d'exploitation : d\u00e9tecter et contenir les attaques visant les environnements SAP"},"content":{"rendered":"

Les applications SAP n'existent pas de mani\u00e8re isol\u00e9e, mais sont \u00e9troitement li\u00e9es au syst\u00e8me d'exploitation sous-jacent. Qu'il s'agisse d'\u00e9crire des fichiers journaux, de traiter des donn\u00e9es saisies, d'ex\u00e9cuter des t\u00e2ches en arri\u00e8re-plan ou d'effectuer des contr\u00f4les d'int\u00e9grit\u00e9, l'acc\u00e8s aux ressources du syst\u00e8me d'exploitation est toujours n\u00e9cessaire pour appeler des fonctions syst\u00e8me ou effectuer des op\u00e9rations sur le syst\u00e8me de fichiers.<\/p>\n\n\n\n

Tous les processus d\u00e9clench\u00e9s par SAP au niveau du syst\u00e8me d'exploitation sont lanc\u00e9s par un utilisateur d\u00e9di\u00e9 du syst\u00e8me d'exploitation, qui, sur les syst\u00e8mes Linux, porte le nom de l'identifiant syst\u00e8me SAP et s'appelle, par exemple, \u00ab adm \u00bb. Le syst\u00e8me d\u2019exploitation ne conna\u00eet ni les processus m\u00e9tier du niveau SAP, ni les utilisateurs, r\u00f4les, transactions et autorisations qui y sont associ\u00e9s. \u00c0 l\u2019inverse, SAP ne sait pas quelles fonctions ont \u00e9t\u00e9 ex\u00e9cut\u00e9es dans le syst\u00e8me d\u2019exploitation ni quels acc\u00e8s ont eu lieu : les applications SAP se contentent d\u2019envoyer une requ\u00eate et de recevoir un r\u00e9sultat en retour. La visibilit\u00e9 entre les deux niveaux est donc relativement limit\u00e9e ; l\u2019\u00e9change repose sur une confiance mutuelle.<\/p>\n\n\n\n

Entre le code ABAP des applications SAP et le syst\u00e8me d'exploitation se trouve le noyau SAP, qui sert d'interm\u00e9diaire et se charge de la cr\u00e9ation des processus, de la gestion de la m\u00e9moire, des communications r\u00e9seau, des acc\u00e8s au syst\u00e8me de fichiers et de l'ex\u00e9cution des commandes du syst\u00e8me d'exploitation. Il valide les requ\u00eates des applications et utilise l'utilisateur du syst\u00e8me d'exploitation de SAP pour ex\u00e9cuter des commandes ou des acc\u00e8s aux fichiers. Dans la plupart des cas, ces commandes et ces possibilit\u00e9s d'acc\u00e8s sont clairement d\u00e9finies. Les applications ABAP les appellent \u00e0 l\u2019aide de modules fonction standardis\u00e9s : le noyau les r\u00e9sout, valide les autorisations, organise les param\u00e8tres et les ex\u00e9cute enfin.<\/p>\n\n\n\n

Il existe toutefois, h\u00e9ritage du pass\u00e9, la possibilit\u00e9 que des applications ABAP transmettent directement au noyau les commandes concr\u00e8tes du syst\u00e8me d\u2019exploitation via des instructions telles que CALL \u2018SYSTEM\u2018 ou CALL \u2018CFUNC\u2018. Cette pratique est fortement d\u00e9conseill\u00e9e et, dans les environnements modernes, cette option est de plus en plus restreinte ; toutefois, on la retrouve encore fr\u00e9quemment dans le code h\u00e9rit\u00e9. De plus, les composants du noyau peuvent bien s\u00fbr eux-m\u00eames initier des appels de commande, par exemple pour contr\u00f4ler des instances, effectuer des v\u00e9rifications de l'\u00e9tat du syst\u00e8me ou surveiller les ressources. Cela ne change toutefois rien au principe fondamental selon lequel le noyau ex\u00e9cute les commandes via l\u2019utilisateur du syst\u00e8me d\u2019exploitation de SAP.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Acc\u00e8s aux fichiers pr\u00e9sentant un risque \u00e9lev\u00e9<\/h2>\n\n\n\n

Si des attaquants parviennent \u00e0 exploiter des vuln\u00e9rabilit\u00e9s ou des erreurs de configuration au niveau SAP, ou \u00e0 utiliser abusivement des identifiants vol\u00e9s, ils peuvent interagir avec le niveau du syst\u00e8me d'exploitation via l'utilisateur de ce dernier. Les cons\u00e9quences concr\u00e8tes d\u00e9pendent de l'environnement SAP concern\u00e9, de la configuration du syst\u00e8me d'exploitation et de l'infrastructure environnante. Mais le simple fait d\u2019acc\u00e9der au syst\u00e8me de fichiers leur offre d\u00e9j\u00e0 une grande marge de man\u0153uvre : ils peuvent notamment consulter les fichiers de configuration, les param\u00e8tres de connexion, les d\u00e9finitions d\u2019interface et les certificats, modifier des scripts, voire les remplacer.<\/p>\n\n\n\n

Les pirates sont ainsi en mesure d'espionner le syst\u00e8me, de le manipuler et de s'assurer un acc\u00e8s permanent \u2013 au cas o\u00f9 les mots de passe seraient modifi\u00e9s ou les failles corrig\u00e9es. Pour ce faire, il suffit parfois de modifier ou de remplacer des scripts de d\u00e9marrage, des t\u00e2ches cron et d\u2019autres \u00e9l\u00e9ments qui s\u2019ex\u00e9cutent automatiquement \u00e0 des moments pr\u00e9cis ou lors d\u2019\u00e9v\u00e9nements sp\u00e9cifiques. Souvent, les pirates mettent \u00e9galement en place des portes d\u00e9rob\u00e9es, des canaux de communication prot\u00e9g\u00e9s et des outils de piratage pour leurs activit\u00e9s futures. Afin que celles-ci ne soient pas d\u00e9tect\u00e9es, ils modifient les fichiers journaux, effacent les traces num\u00e9riques ou perturbent les syst\u00e8mes de surveillance.<\/p>\n\n\n\n

Ind\u00e9pendamment de cela, le syst\u00e8me SAP compromis peut \u00e9galement servir de tremplin vers d'autres syst\u00e8mes au sein de l'environnement SAP, tels que des serveurs de bases de donn\u00e9es et de fichiers, des syst\u00e8mes de sauvegarde ou des plateformes de surveillance.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Sc\u00e9narios d'attaque possibles dans la pratique<\/h2>\n\n\n\n

Divers sc\u00e9narios d'attaque, que des experts de Fortinet, No Monkey, PwC et Red Hat ont pu d\u00e9montrer dans le cadre d'un projet baptis\u00e9 \u00ab Ironroot \u00bb, reposent sur l'exploitation abusive de diff\u00e9rentes transactions SAP. La transaction AL11, par exemple, permet aux administrateurs d\u2019acc\u00e9der \u00e0 des r\u00e9pertoires pr\u00e9d\u00e9finis via l\u2019interface SAP. Si de nouvelles entr\u00e9es sont ajout\u00e9es \u00e0 la liste des r\u00e9pertoires, les fichiers qui s\u2019y trouvent peuvent \u00eatre ouverts directement depuis SAP, sans avoir besoin d\u2019un acc\u00e8s shell au serveur. En fonction des autorisations dont dispose l\u2019utilisateur SAP sur le syst\u00e8me h\u00f4te, cela permet d\u2019acc\u00e9der \u00e0 des informations sensibles telles que les configurations, les journaux, les identifiants et les donn\u00e9es d\u2019application, qui aident les attaquants \u00e0 planifier et \u00e0 mener d\u2019autres activit\u00e9s.<\/p>\n\n\n\n

Les fonctions natives d'ABAP pour la gestion des fichiers et la transaction SE38 permettent en outre de modifier et de cr\u00e9er des fichiers sur le syst\u00e8me. Lors d'une d\u00e9monstration, un rapport a ainsi \u00e9t\u00e9 g\u00e9n\u00e9r\u00e9, qui a cr\u00e9\u00e9 un fichier inoffensif dans le syst\u00e8me de fichiers. Dans un tel sc\u00e9nario, des attaquants pourraient, par exemple, modifier ou recr\u00e9er des configurations et des scripts. S\u2019il s\u2019agit d\u2019\u00e9l\u00e9ments que le syst\u00e8me d\u2019exploitation lance lui-m\u00eame \u00e0 des moments ou \u00e0 des occasions pr\u00e9cis, ils n\u2019ont m\u00eame pas besoin des autorisations n\u00e9cessaires pour ex\u00e9cuter des fichiers et du code afin de causer des d\u00e9g\u00e2ts importants.<\/p>\n\n\n\n

Cependant, les pirates peuvent tout \u00e0 fait s'approprier ces droits de mani\u00e8re frauduleuse. L'une des possibilit\u00e9s consiste \u00e0 exploiter la transaction SM69 pour d\u00e9finir ses propres commandes, qui peuvent ensuite \u00eatre appel\u00e9es depuis l'interface SAP via la transaction SM49. SAP ouvre alors un shell qui ex\u00e9cute la commande \u2013 par exemple, le lancement d\u2019un script \u2013 au niveau du syst\u00e8me d\u2019exploitation. Dans la d\u00e9monstration r\u00e9alis\u00e9e par les experts, il s\u2019agissait simplement d\u2019un message inoffensif \u201e Hello from the OS \u201c, qui a \u00e9t\u00e9 renvoy\u00e9 directement au niveau SAP. En cas d\u2019attaque, il peut s\u2019agir de fichiers binaires, de scripts ou d\u2019outils syst\u00e8me dangereux.<\/p>\n\n\n\n

Outre SM49 et SM69, SAP propose \u00e9galement des fonctionnalit\u00e9s permettant une interaction directe avec le shell du syst\u00e8me d'exploitation, notamment le programme ABAP RSBDCOS0, qui ex\u00e9cute des commandes du syst\u00e8me d'exploitation et affiche les r\u00e9sultats obtenus au sein de l'interface SAP. Lors de leurs d\u00e9monstrations, les experts ont utilis\u00e9 ce rapport et, dans un premier temps, des commandes simples telles que \u00ab whoami \u00bb pour d\u00e9terminer si les commandes \u00e9taient ex\u00e9cut\u00e9es en tant qu\u2019utilisateur du syst\u00e8me d\u2019exploitation SAP. Ils ont ensuite initi\u00e9 un shell invers\u00e9 \u00e0 l\u2019aide de Netcat et \u00e9tabli une connexion sortante vers un syst\u00e8me externe. Gr\u00e2ce \u00e0 celle-ci, les attaquants pourraient s\u2019assurer un acc\u00e8s continu au syst\u00e8me d\u2019exploitation, parcourir et cr\u00e9er des fichiers, ex\u00e9cuter n\u2019importe quelle commande et s\u2019implanter de mani\u00e8re permanente. En substance, ils disposent des m\u00eames possibilit\u00e9s qu\u2019un utilisateur connect\u00e9 localement, ce qui modifie consid\u00e9rablement la nature de la compromission par rapport aux sc\u00e9narios d\u2019attaque d\u00e9crits pr\u00e9c\u00e9demment via des transactions SAP. L\u2019application SAP ne sert ici plus que de vecteur d\u2019attaque initial.<\/p>\n\n\n\n

<\/div>\n\n\n\n

La s\u00e9curit\u00e9 \u00e0 plusieurs niveaux devient obligatoire<\/h2>\n\n\n\n

Pour pr\u00e9venir les attaques et la compromission des syst\u00e8mes, les entreprises prennent g\u00e9n\u00e9ralement toute une s\u00e9rie de mesures : elles renforcent la s\u00e9curit\u00e9 des syst\u00e8mes d'exploitation, installent des solutions de s\u00e9curit\u00e9, corrigent les vuln\u00e9rabilit\u00e9s, segmentent les r\u00e9seaux, adoptent des pratiques s\u00e9curis\u00e9es dans le d\u00e9veloppement logiciel et mettent en place une surveillance continue. Cependant, dans des environnements d'entreprise complexes et en constante \u00e9volution, qui sont de plus en plus souvent la cible d'attaques men\u00e9es par des pirates s'appuyant sur l'IA, ces mesures pr\u00e9ventives ne suffisent plus. Gr\u00e2ce \u00e0 l\u2019IA, les vuln\u00e9rabilit\u00e9s, les erreurs de configuration et autres points d\u2019attaque peuvent \u00eatre d\u00e9tect\u00e9s et exploit\u00e9s plus rapidement que jamais ; c\u2019est pourquoi des strat\u00e9gies de s\u00e9curit\u00e9 \u00e0 plusieurs niveaux sont n\u00e9cessaires pour r\u00e9duire la surface d\u2019attaque et limiter la marge de man\u0153uvre des intrus.<\/p>\n\n\n\n

\"\"
Le contr\u00f4le d'acc\u00e8s discr\u00e9tionnaire (DAC), SELinux et fapolicyd se compl\u00e8tent et emp\u00eachent que des comptes compromis ou des vuln\u00e9rabilit\u00e9s au niveau de SAP ne soient exploit\u00e9s pour mener des actions de grande envergure au niveau du syst\u00e8me d'exploitation. (Source : Red Hat)<\/em><\/figcaption><\/figure>\n\n\n\n

Cette approche, \u00e9galement appel\u00e9e \u00ab d\u00e9fense en profondeur \u00bb, repose sur l'imbrication de plusieurs m\u00e9canismes de s\u00e9curit\u00e9, de sorte que, si l'un d'entre eux est contourn\u00e9, d'autres prennent le relais pour bloquer les attaquants ou, \u00e0 tout le moins, les ralentir. Cela rev\u00eat une importance particuli\u00e8re dans les environnements SAP en raison de la relation de confiance entre le niveau SAP et celui du syst\u00e8me d\u2019exploitation : en effet, si un attaquant parvient \u00e0 ex\u00e9cuter des commandes du syst\u00e8me d\u2019exploitation ou \u00e0 effectuer des op\u00e9rations sur le syst\u00e8me de fichiers via la pile SAP, cela signifie que les m\u00e9canismes de protection pr\u00e9ventifs ont d\u00e9j\u00e0 \u00e9t\u00e9 contourn\u00e9s. \u00c0 ce stade, l\u2019attaque est en cours et ne peut plus \u00eatre emp\u00each\u00e9e, mais seulement contenue.<\/p>\n\n\n\n

Dans le cadre du projet Ironroot, les experts de Fortinet, No Monkey, PwC et Red Hat ont donc mis au point des mesures visant \u00e0 limiter les possibilit\u00e9s des attaquants au niveau du syst\u00e8me d'exploitation et \u00e0 compliquer l'espionnage et l'infiltration d'autres syst\u00e8mes. Les objectifs concrets sont les suivants :<\/p>\n\n\n\n