Patch Day de SAP soluciona vulnerabilidad crítica que permitiría acceso total a un atacante

14 Julio 2020
Crítico

SAP Security Patch Day ha informado el lanzamiento de 8 Notas de seguridad más 2 actualizaciones publicadas anteriormente, que hacen referencia a 14 vulnerabilidades con CVE asignado.

En este Patch Day destaca la vulnerabilidad crítica CVE-2020-6287 que puede llevar a un compromiso total de las instalaciones vulnerables de SAP por parte de un atacante remoto no autenticado. La falla afecta a una variedad de soluciones comerciales de SAP, incluyendo SAP Enterprise Resource Planning (ERP), SAP Supply Chain Management (SCM), SAP HR Portal y otros.

CVE-2020-6287 denominada RECON (Remotely Exploitable Code On NetWeaver)

La vulnerabilidad, se debe a la falta de autenticación en un componente web (Asistente de configuración LM) del SAP NetWeaver AS para las versiones de Java 7.30 a 7.50. La vulnerabilidad puede explotarse a través de una interfaz HTTP, normalmente expuesta a los usuarios finales y, a menudo, a Internet. Nombrado RECON por los investigadores de Onapsis Research Labs que lo encontraron (Remotely Exploitable Code On NetWeaver) está clasificada con un puntaje CVSS máximo de 10 de 10. 

Si se explota con éxito, un atacante remoto no autenticado puede obtener acceso sin restricciones a los sistemas SAP mediante la creación de usuarios con privilegios elevados y la ejecución de comandos arbitrarios del sistema operativo con los privilegios de la cuenta de usuario del servicio SAP (adm), que tiene acceso ilimitado a la base de datos de SAP y puede realizar actividades de mantenimiento de aplicaciones, como cerrar aplicaciones de SAP federadas.

La confidencialidad, integridad y disponibilidad de los datos y procesos alojados por la aplicación SAP están en riesgo por esta vulnerabilidad. 

Las organizaciones que no pueden parchear inmediatamente deben mitigar la vulnerabilidad al deshabilitar el servicio del Asistente de configuración de LM consulte la Nota de seguridad de SAP # 2934135.

CVE-2020-6285 SAP NetWeaver (Alta)

La vulnerabilidad existe debido a un error no especificado dentro de SAP NetWeaver (XML Toolkit for JAVA) . Un usuario autenticado remoto puede obtener acceso no autorizado a información confidencial en el sistema.

CVE-2020-6267 SAP Disclosure Management (Media)

La vulnerabilidad existe debido a un error no especificado dentro de SAP Disclosure Management. Un atacante remoto no autenticado puede obtener acceso no autorizado a la aplicación.

CVE-2020-6281 SAP BusinessObjects Business Intelligence suite (Media)

La vulnerabilidad existe debido a la desinfección insuficiente de los datos proporcionados por el usuario dentro del componente BI Launchpad . Un atacante remoto puede engañar a la víctima para que siga un enlace especialmente diseñado y ejecute HTML arbitrario y código de script en el navegador del usuario en el contexto de un sitio web vulnerable.

 

El resto de vulnerabilidades pueden ser verificadas directamnete en el portal del proveedor:
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=552599675

Se recomienda lo siguiente:

  • Instalar las actualizaciones del fabricante disponibles en medios oficiales del proveedor, previo análisis del impacto que podría provocar en los servicios críticos para el negocio de su organización. Para ello consulte con su personal técnico o áreas resolutorias correspondientes.

El listado de las CVE se adjunta a continuación:


Tags: #SAP #parche #Vulnerabilidad #NetWeaver #Recon #Business #JAVA


© 2019 Entel CyberSecure
Protege tus activos críticos, datos e infraestructura TI y minimiza tus riesgos de fuga de información,
fraude electrónico, espionaje industrial, suplantación de identidades y amenazas Zero Day, con las soluciones y servicios del Centro de Ciberinteligencia de Entel.