Actualización de seguridad de SAP de septiembre de 2021

Fecha de publicación: 15/09/2021

Importancia:
Crítica

Recursos afectados:

• SAP Business Client, versión 6.5, 7.0 y 7.70;
• SAP NetWeaver Application Server Java (JMS Connector Service), versión 7.11, 7.20, 7.30, 7.31, 7.40 y 7.50;
• SAP Business One, versión 10.0;
• SAP S/4HANA, versión 1511, 1610, 1709, 1809, 1909, 2020 y 2021;
• SAP LT Replication Server, versión 2.0 y 3.0;
• SAP LTRS for S/4HANA, versión 1.0;
• SAP Test Data Migration Server, versión 4.0;
• SAP Landscape Transformation, versión 2.0;
• SAP NetWeaver (Visual Composer 7.0 RT), versión 7.30, 7.31, 7.40 y 7.50;
• SAP NetWeaver Knowledge Management XML Forms, versión 7.10, 7.11, 7.30, 7.31, 7.40 y 7.50;
• SAP Contact Center, versión 700;
• SAP Web Dispatcher:
  • WEBDISP, versión 7.49, 7.53, 7.77 y 7.81;
  • KRNL64NUC, versión 7.22, 7.22EXT y 7.49;
  • KRNL64UC, versión 7.22, 7.22EXT, 7.49 y 7.53;
  • KERNEL, versión 7.22, 7.49, 7.53, 7.77, 7.81 y 7.83;
• SAP Analysis for Microsoft Office, versión 2.8;
• SAP BusinessObjects Business Intelligence Platform (BI Workspace), versión 420;
• SAP ERP Financial Accounting (RFOPENPOSTING_FR):
  • SAP_APPL, versión 600, 602, 603, 604, 605, 606 y 616;
  • SAP_FIN, versión 617, 618, 700, 720 y 730;
  • SAPSCORE, versión 125, S4CORE, 100, 101, 102, 103, 104 y 105;
• SAP NetWeaver Enterprise Portal, versión 7.10, 7.11, 7.20, 7.30, 7.31, 7.40 y 7.50;
• SAP 3D Visual Enterprise Viewer, versión 9.0.

Descripción:

SAP ha publicado varias actualizaciones de seguridad en diferentes productos en su comunicado mensual.

Solución:

Visitar el portal de soporte de SAP e instalar las actualizaciones o los parches necesarios, según indique el fabricante.

Detalle:

SAP, en su comunicado mensual de parches de seguridad, ha emitido un total de 17 notas de seguridad y 2 actualizaciones de notas anteriores, siendo 7 de severidad crítica, 2 de severidad alta y 10 de severidad media.

Los tipos de vulnerabilidades publicadas se corresponden con los siguientes:

• 1 vulnerabilidad de inyección de código,
• 4 vulnerabilidades de XSS (Cross-Site Scripting),
• 3 vulnerabilidades de revelación de información,
• 2 vulnerabilidades de falta de comprobación de autenticación,
• 2 vulnerabilidades de inyección de comandos del SO,
• 2 vulnerabilidades de inyección SQL,
• 2 vulnerabilidades de subida de archivos no restringida,
• 6 vulnerabilidades de otro tipo.

Las notas de seguridad más destacadas se refieren a:

• SAP NetWeaver Application Server Java (JMS Connector Service): se ha corregido una vulnerabilidad de falta de comprobación de autenticación que podría permitir a un atacante leer, modificar o eliminar datos restringidos. Se ha asignado el identificador CVE-2021-37535 para esta vulnerabilidad crítica.
• SAP NetWeaver Knowledge Management: se ha corregido una vulnerabilidad que podría permitir a un atacante, no autenticado y sin privilegios de administrador, la inyección de código. Se ha asignado el identificador CVE-2021-37531 para esta vulnerabilidad crítica.
• SAP NetWeaver (Visual Composer 7.0 RT): se ha corregido una vulnerabilidad de subida de archivos no restringida que podría permitir a un atacante sin privilegios de administrador realizar una escalada de privilegios para leer o modificar información del servidor o causar una condición de denegación de servicio. Se ha asignado el identificador CVE-2021-38163 para esta vulnerabilidad crítica.
• SAP Contact Center: se han corregido vulnerabilidades de inyección de comandos del SO y XSS reflejado que podrían permitir a un atacante comprometer la confidencialidad, integridad y disponibilidad de la aplicación, inyectando un script malicioso en un mensaje de chat y aprovechando los controles ActiveX. Se ha asignado el identificador CVE-2021-33672 para estas vulnerabilidades críticas.
• SAP NZDT Mapping Table Framework: se ha corregido una vulnerabilidad de inyección SQL que podría permitir a un atacante, autenticado y con privilegios, realizar consultas manipuladas para acceder a la base de datos del backend. Se ha asignado el identificador CVE-2021-38176 para esta vulnerabilidad crítica.

Para el resto de vulnerabilidades se han asignado los identificadores: CVE-2021-33698, CVE-2021-38162, CVE-2021-38177, CVE-2021-33685, CVE-2021-38175, CVE-2021-38150, CVE-2021-33679, CVE-2021-38164, CVE-2021-33686, CVE-2021-21489, CVE-2021-33688, CVE-2021-37532 y CVE-2021-38174.

Etiquetas:
0day, Actualización, SAP, Vulnerabilidad