Actualización de seguridad de SAP de octubre de 2021

Fecha de publicación: 13/10/2021

Importancia:
Crítica

Recursos afectados:

• SAP Business Client, versión 6.5;
• SAP Environmental Compliance, versión 3.0;
• SAP NetWeaver AS ABAP and ABAP Platform, versión 700, 701, 702, 710, 730, 731, 740, 750, 751, 752, 753, 754, 755, 756 y 785;
• SAP SuccessFactors Mobile Application, versiones anteriores a la 2108;
• SAP BusinessObjects Business Intelligence Platform, versión 420 y 430;
• SAP Business One, versión 10.0;
• SAP NetWeaver Application Server for ABAP (SAP Cloud Print Manager and SAPSprint), versión 7.70, 7.70PI y 7.70BYD;
• SAPUI5, versión 750, 753 y 754;
• SAP NetWeaver, versión 700, 701, 702 y 730;
• SAP BusinessObjects Analysis para OLAP, versión 420 y 430.

Descripción:

SAP ha publicado varias actualizaciones de seguridad en diferentes productos en su comunicado mensual.

Solución:

Visitar el portal de soporte de SAP e instalar las actualizaciones o los parches necesarios, según indique el fabricante.

Detalle:

SAP, en su comunicado mensual de parches de seguridad, ha emitido un total de 13 notas de seguridad y 1 actualización de notas anteriores, siendo 3 de severidad crítica, 1 de severidad alta y 10 de severidad media.

Los tipos de vulnerabilidades publicadas se corresponden con los siguientes:

• 1 vulnerabilidad de inyección de código,
• 2 vulnerabilidades de XSS,
• 2 vulnerabilidades de denegación de servicio,
• 1 vulnerabilidad de autorización inadecuada,
• 2 vulnerabilidades de revelación de información,
• 1 vulnerabilidad de falta de validación XML, 
• 5 vulnerabilidades de otro tipo.

Las notas de seguridad más destacadas se refieren a:

• SAP Environmental Compliance: se ha corregido una vulnerabilidad de inyección XXE (XML External Entity) que podría permitir a un atacante interferir en el procesado de datos XML de la aplicación. Se han asignado los identificadores CVE-2020-10683 y CVE-2021-23926 para esta vulnerabilidad crítica.
• SAP NetWeaver AS ABAP and ABAP Platform: se ha corregido una vulnerabilidad de autorización inadecuada que podría permitir a un atacante manipular información de peticiones o tareas. Se ha asignado el identificador CVE-2021-38178 para esta vulnerabilidad.

Para el resto de vulnerabilidades se han asignado los identificadores: CVE-2021-40498, CVE-2021-40500, CVE-2021-38179, CVE-2021-38180, CVE-2021-38181, CVE-2021-40499, CVE-2020-11023, CVE-2021-38183, CVE-2021-40495, CVE-2021-40497 y CVE-2021-40496.

Etiquetas:
Actualización, SAP, Vulnerabilidad