Actualización de seguridad crítica para SAP

SAP ha publicado en su boletín de seguridad de diciembre varias vulnerabilidades de seguridad que están afectando a sus productos, siendo varias de ellas de carácter crítico. SAP recomienda aplicar los parches de seguridad a la mayor brevedad posible.

Esta actualización está marcada por la detección de la vulnerabilidad crítica de Apache Log4j, recientemente publicada. El equipo de seguridad de SAP ha estado comprobando el impacto en las aplicaciones SAP por lo que, entre las vulnerabilidades publicadas en el boletín de seguridad de este mes, destacan:

Los objetivos más comunes fueron los del sector público e industrial. Otros objetivos populares fueron las organizaciones financieras y tecnológicas.

• Parche por vulnerabilidad de inyección de código en las herramientas de traducción de SAP ABAP Server & plataforma ABAP. La vulnerabilidad permite a un atacante con pocos privilegios ejecutar comandos arbitrarios en segundo plano.
• Parche por vulnerabilidad que afecta a las instalaciones de SAP Commerce configuradas para utilizar una base de datos Oracle, y que podría permitir a un atacante ejecutar consultas de base de datos manipuladas a través de la inyección de comandos SQL maliciosos, exponiendo así la base de datos backend.
• Los clientes de SAP Commerce, que utilizan el acelerador B2C, también se ven afectados por una vulnerabilidad de criticidad alta, que podría permitir a un atacante provocar retrasos en la respuesta e interrupciones del servicio, dando lugar a una situación de denegación de servicio.
• Parche por vulnerabilidad de criticidad alta del tipo Cross-Site Scripting en SAP Knowledge Warehouse (SAP KW), que puede dar lugar a la divulgación de datos sensibles.
• Corrección vulnerabilidad de criticidad alta del tipo inyección de código en SAP NetWeaver AS ABAP, que podría conducir a la ejecución de comandos arbitrarios en el sistema operativo.
• Parche por vulnerabilidad del tipo Directory Traversal en SAF-T, que convierte datos fiscales de SAP en el formato Standard Audit File Tax (abreviado como SAF-T) y viceversa. El SAF-T es un estándar internacional de la OCDE para el intercambio electrónico de datos fiscales. Una validación insuficiente de la información permite a un atacante leer la estructura completa del sistema de archivos.
• Parche para SAP Business Client con las últimas correcciones de Chromium probadas.