SAP ha publicado
varias actualizaciones de seguridad de diferentes productos en su comunicado
mensual, catalogada de Importancia: 5 - Crítica
Recursos afectados:
1.
SAP
NetWeaver UDDI Server (Services Registry), versiones 7.10, 7.11, 7.20, 7.30,
7.31, 7.40 y 7.50.
2.
SAP
Business Client, versión 6.5.
3.
SAP
Commerce Cloud (Virtualjdbc Extension y Mediaconversion Extension), versiones
6.4, 6.5, 6.6, 6.7, 1808, 1811 y 1905.
4.
SAP
NetWeaver Application Server para Java (Administrator System Overview),
versiones 7.30, 7.31, 7.40 y 7.50.
5.
SAP
HANA Database, versiones 1.0 y 2.0.
6.
SAP
Kernel (ABAP Debugger), versiones KRNL32NUC 7.21, 7.21EXT, 7.22, 7.22EXT,
KRNL32UC 7.21, 7.21EXT, 7.22, 7.22EXT, KRNL64NUC 7.21, 7.21EXT, 7.22, 7.22EXT,
7.49, KRNL64UC 7.21, 7.21EXT, 7.22, 7.22EXT, 7.49, 7.73, KERNEL 7.21, 7.49,
7.53, 7.73, 7.75, 7.76 y 7.77.
7.
SAP
Enable Now, versión 1902.
8.
SAP
NetWeaver Process Integration (Java Proxy Runtime), versiones 7.10, 7.11, 7.30,
7.31, 7.40 y 7.50.
9.
SAP
Gateway, versiones 750, 751, 752 y 753.
10.
SAP
Business Objects Business Intelligence Platform (BI Workspace, Info View, Web
Intelligence y CMC), versiones 4.1, 4.2 y 4.3.
Recomendación
Visitar el portal de
soporte de SAP e instalar las actualizaciones o los parches necesarios, según
indique el fabricante.
Detalle de
vulnerabilidades
SAP, en su
comunicación mensual de parches de seguridad, ha emitido un total de 13 notas
de seguridad, siendo 4 de ellas de severidad crítica, 2 altas, 6 medias y una
baja.
El tipo de
vulnerabilidades publicadas se corresponde a los siguientes:
·
3
vulnerabilidades de divulgación de información.
·
1
vulnerabilidad de ejecución remota de código.
·
1
vulnerabilidad de denegación de servicio.
·
1
vulnerabilidad de SSRF (Server-Side Request Forgery).
·
1
vulnerabilidad de inyección de código.
·
6
vulnerabilidades de otro tipo.
Las notas de
seguridad calificadas como críticas y alta se refieren a:
1.
Un
atacante puede aprovechar una vulnerabilidad de desbordamiento de búfer para
inyectar código en la memoria de trabajo. Se ha reservado el identificador
CVE-2019-0351 para esta vulnerabilidad.
2.
Una
actualización del boletín de abril de 2018.
3.
Unas
vulnerabilidades de inyección de código, en las extensiones Virtualjdbc y
Mediaconversion, permitirían al atacante tomar el control total de la
aplicación. Se han reservado los identificadores CVE-2019-0343 y CVE-2019-0344
para estas vulnerabilidades.
4.
Un
atacante puede acceder, mediante el robo de credenciales, a la consola de
administración de Java. La explotación de esta vulnerabilidad permitiría
realizar interrupciones completas de los portales web de Java, acceso a datos
no autorizados o modificación de los mismos. Se ha reservado el identificador
CVE-2019-0345 para esta vulnerabilidad.
5.
Un
atacante podría enviar peticiones de conexión, especialmente diseñadas, a una
instancia de SAP HANA, lo que bloquearía el servidor de índices relacionado. Se
ha reservado el identificador CVE-2019-0350 para esta vulnerabilidad.
6.
Una
vulnerabilidad de falta de autorización permitiría a un atacante la
manipulación o el acceso de información no autorizada. Se ha reservado el
identificador CVE-2019-0349 para esta vulnerabilidad.
Más información
·
SAP
Security Patch Day – August 2019 https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=523998017
·
SAP
Security Notes August ‘19: SAP JAVA Systems Continuity at Risk From
Unauthenticated Attack https://www.onapsis.com/blog/sap-security-notes-august-19-sap-java-systems-continuity-risk-unauthenticated-attack
Fuente: Hispasec
