Actualización de seguridad de SAP de julio 2018

Fecha de publicación: 11/07/2018

Importancia:
Crítica

Recursos afectados:

• SAP Business Client, versión 6.5
• SAP Internet Sales, versiones 7.30,7.31, 7.32, 7.33 y 7.54
• SAP Business Objects, versiones 4.0 a 4.10, 4.20 a 4.30
• SAP Crystal Reports, versión para Visual Studio .NET, versión 2010
• AP R/3 Enterprise Retail, versión EHP6
• SAP CrystalReports versión para Visual Studio .NET, version 2010
• SAP BusinessObjects Business Intelligence Suite, versiones 4.10 y 4.20
• SAP Business Objects Enterprise, versiones 4.0 y 4.1
• SAP Gateway, versiones SAP KERNEL 32 NUC, SAP KERNEL 32 Unicode, SAP KERNEL 64 NUC, SAP KERNEL 64 Unicode 7.21, 7.21EXT, 7.22 y 7.22EXT; SAP KERNEL 7.21, 7.22, 7.45, 7.49 y 7.53
• SAP MaxDB ODBC driver, versiones 7.9.09.07
• SAP Internet Graphics Server (IGS), versiones 7.20, 7.20EXT, 7.45, 7.49 y 7.53
• SAP Dynamic Authorization Management (DAM) de NextLabs (Java Policy Controller), versiones 7.7 y 8.5
• SAP BusinessObjects Business Intelligence (BI Launchpad y Central Management Console), versiones 4.1, 4.2 y 4.3
• Infrastructure for UI add-on for SAP NetWeaver (UI_Infra), SAP UI Implementation for Decoupled Innovations(UI_700): NW 7.00 Implementation, SAP User Interface Technology (SAP_UI), versiones UI_Infra 1.0; SAP_UI 7.4, 7.5, 7.51 y 7.52; UI_700 2.0

Descripción:

SAP ha publicado varias actualizaciones de seguridad de diferentes productos en su comunicado mensual.

Solución:

Visitar el portal de soporte de SAP e instalar actualizaciones o parches necesarios según indique el fabricante.

Detalle:

SAP, en su comunicación mensual de parches de seguridad, ha emitido un total de 16 notas de seguridad de las cuales, 5 son actualizaciones de notas de seguridad publicadas con anterioridad, 1 de ellas de severidad crítica, 2 de de severidad alta y 13 de severidad media.

El tipo de vulnerabilidades publicadas se corresponde a los siguientes:

• 3 vulnerabilidades de inyección de código
• 1 vulnerabilidad de divulgación de información
• 3 vulnerabilidades de denegación de servicio
• 2 vulnerabilidades de Cross-Site Scripting
• 1 vulnerabilidad de falta de verifiación de autorización
• 3 vulnerabilidades de otras tipologías

Las vulnerabilidades más relevantes son las siguientes:

• Una vulnerabilidad de ausencia de verificación de autorización en SAP R/3 Enterprise Retail, podría permitir el acceso a un servicio sin ningún procedimiento de autorización y la utilización de la funcionalidad del servicio que tiene acceso restringido. Esto puede llevar a una revelación de información, elevación de privilegios y otros ataques. Se ha reservado el código CVE-2018-2436 para esta vulnerabilidad.
• Una vulnerabilidad de inyección de código en SAP CrystalReports podría permitir la ejecución de comandos con los mismos privilegios del servicio que ejecutó el comando. Es posible acceder a archivos y directorios arbitrarios ubicados en un sistema de archivos de servidor SAP, incluyendo el código fuente de la aplicación, la configuración y los archivos críticos del sistema. Permite obtener información crítica técnica y de negocio almacenada en un sistema SAP vulnerable. Se ha reservado el identificador CVE-2018-2427 para esta vulnerabilidad.
• Una vulnerabilidad de Cross-Site Scripting en SAP CrystalReports podría permitir a un atacante inyectar un script malicioso en una página, almacenándolo permanentemente en el cuerpo de la página, de esta manera el usuario es atacado sin realizar ninguna acción. El script malicioso puede proporcionar acceso a todas las cookies, tokens de sesión y otra información crítica almacenada por el navegador y utilizada para la interacción con un sitio. El atacante puede acceder a la sesión del usuario y aprender información crítica para el negocio y en algunos casos es posible tener control sobre ella. XSS puede ser utilizado para la modificación no autorizada del contenido del sitio mostrado. Se ha reservado el código CVE-2018-2431 para esta vulnerabilidad.

Etiquetas:
Actualización, SAP, Vulnerabilidad