TLP:CLEAR PAP:WHITE
Boletín de seguridad de SAP de abril 2023
Descripción
El proveedor de software empresarial SAP ha publicado sus actualizaciones de seguridad de abril de 2023 para varios de sus productos, que incluyen correcciones para dos vulnerabilidades de gravedad crítica que afectan al agente de diagnóstico de SAP y a la plataforma de inteligencia empresarial de SAP BusinessObjects.
En total, SAP ha publicado 24 notas, 19 de las cuales se refieren a nuevos temas de diversa importancia y cinco son actualizaciones de boletines anteriores.
En total, SAP ha publicado 24 notas, 19 de las cuales se refieren a nuevos temas de diversa importancia y cinco son actualizaciones de boletines anteriores.
- CVE-2023-27267 (9.0): Validación de entrada insuficiente y problema de autenticación faltante que afecta OSCommand Bridge de SAP Diagnostics Agent, versión 720, lo que permite a un atacante ejecutar scripts en agentes conectados y comprometer completamente el sistema.
- CVE-2023-28765 (9.8): vulnerabilidad de divulgación de información que afecta a SAP BusinessObjects Business Intelligence Platform (Promotion Management), versiones 420 y 430, lo que permite a un atacante con privilegios básicos obtener acceso al archivo lcmbiar y descifrarlo. Esto permitiría al atacante acceder a las contraseñas de los usuarios de la plataforma y apoderarse de sus cuentas para realizar acciones maliciosas adicionales.
- CVE-2023-29186 (8.7): falla de cruce de directorios que afecta las versiones 707, 737, 747 y 757 de SAP NetWeaver, lo que permite que un atacante cargue y sobrescriba archivos en el servidor SAP vulnerable.
Productos afectados
- SAP Diagnostics Agent (OSCommand Bridge andEventLogServiceCollector), Version – 720
- SAP Business Client, Versions - 6.5, 7.0, 7.70
- SAP NetWeaver Process Integration, Version – 7.50
- SAP BusinessObjects Business Intelligence Platform (PromotionManagement, Versions – 420, 430
- SAP NetWeaver Application Server for ABAP and ABAP Platform, Versions - 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 791
- SAP NetWeaver (BI CONT ADDON), Versions - 707, 737, 747, 757
- SAP Landscape Management, Version – 3.0
- SapSetup (Software Installation Program), Version – 9.0
- SAP NetWeaver Enterprise Portal ,Version – 7.50
- SAP Fiori apps 1.0 for travel management in SAP ERP (My Travel Requests), Version - 600
- SAP NetWeaver AS for ABAP and ABAP Platform, Versions – 740, 750, 751, 752, 753, 754, 755, 756, 757, 791
- SAP GUI for HTML, Versions - KERNEL 7.22, 7.53, 7.547.77, 7.81, 7.85, 7.89, 7.91, KRNL64UC, 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT
- SAP CRM, Versions – 700, 701, 702, 712, 713
- SAP CRM (WebClient UI) ,Versions – S4FND 102, 103, 104, 105, 106, 107, WEBCUIF, 700, 701, 731, 730, 746, 747, 748, 800, 801
- SAP Web Dispatcher and Internet Communication Manager, Versions - KRNL32NUC 7.21, 7.21EXT, 7.22, 7.22EXT, KRNL32UC 7.21, 7.21EXT, 7.22, 7.22EXT, KRNL64NUC 7.21, 7.21EXT, 7.22, 7.22EXT, 7.49, KRNL64UC 7.21, 7.21EXT, 7.22, 7.22EXT, 7.49, 7.53, 7.73, WEBDISP 7.53, 7.73, 7.77, 7.81, 7.82, 7.83, KERNEL 7.21, 7.22, 7.49, 7.53, 7.73, 7.77, 7.81, 7.82, 7.83
- SAP NetWeaver AS Java for Deploy Service, Version – 7.50
- SAP NetWeaver AS for ABAP (Business Server Pages), Versions - 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757
- ABAP Platform and SAP Web Dispatcher ,Versions - WEBDISP 7.85, 7.89, KERNEL 7.85, 7.89, 7.91
- SAP Commerce, Versions – 1905, 2005, 2011
- SAP Application Interface Framework (Log Message View of Message Dashboard), Versions – AIF 703, AIFX 702, S4CORE 101, SAP_BASIS 755, 756, SAP_ABA 75C, 75D, 75E
- SAP HCM Fiori App My Forms (Fiori 2.0), Version – 605
- SAP Application Interface Framework (Custom Hint of Message Dashboard Application, Versions – AIF 703, AIFX 702, S4CORE 100, 101, SAP_BASIS 755, 756, SAP_ABA 75C, 75D, 75E
- SAP Application Interface Framework (Message Monitoring and Message Monitoring for Administrators Application, Versions – 600, 700
- SAP Application Interface Framework (ODATA service), Versions –755, 756
Riesgo
Crítico
Soluciones
Se recomienda seguir las disposiciones que el fabricante recopila en el documento, facilitado en el enlace de referencia.
Referencias
Contacto
Para más información, cualquier otra incidencia o problema de seguridad, puede ponerse en contacto a través de nuestra dirección de correo csirt@seresco.es