Nivel de peligrosidad: CRÍTICO.
SAP ha publicado su aviso de seguridad correspondiente al mes de octubre con 15 notas de seguridad y 2 actualizaciones sobre avisos publicados en meses anteriores. En estas 15 notas se han abordado 2 vulnerabilidades que han sido catalogadas como críticas y 47 han obtenido una severidad alta.
SAP ya ha publicado los correspondientes parches y actualizaciones para corregir estas vulnerabilidades en los productos afectados. Estos fallos de seguridad registrados con el CVE-2022-39802 y CVE-2022-41204 podrían permitir a un atacante realizar accesos no autorizados en los sistemas informáticos vulnerables.
|
CVE |
Descripción |
Producto afectado |
|
CVE-2022-39802 |
Vulnerabilidad que existe debido a una validación insuficiente en un parámetro de solicitud de ruta de archivo. Un atacante remoto puede manipular la ruta del mismo, acceder a la información de cada directorio y divulgar la información comprometida. |
SAP Manufacturing Execution |
|
CVE-2022-41204 |
Vulnerabilidad que existe debido a un error en la página de inicio del producto afectado. Un atacante remoto, mediante la inyección de código, puede redirigir los formularios de inicio de sesión, robando así las credenciales privadas de los usuarios. |
SAP Commerce |
La base de datos del NIST ha registrado estas vulnerabilidades y les ha asignado una puntuación según la escala CVSSv3, siendo calificadas con una severidad alta. No obstante, el fabricante las ha clasificado como críticas, teniendo el CVE-2022-39802 una puntuación de 9.9 y el CVE-2022-41204 una criticidad de 9.6. Hasta la fecha no se conoce actividad dañina en la red ni la disponibilidad de exploits que aprovechen esta vulnerabilidad, así como tampoco se han publicado pruebas de concepto (PoC) sobre los detalles del fallo publicado.
Recursos afectados:
Las vulnerabilidades reportadas afectan a los siguientes productos de SAP:
- SAP Manufacturing Execution - Versiones 15.1 - 15.3
- SAP Commerce - Versiones 1905, 2005, 2011, 2105 y 2205
Solución a las vulnerabilidades:
SAP ya ha publicado los parches y actualizaciones de cada producto afectado por las vulnerabilidades publicadas en su informe correspondiente al mes de octubre. Para poder realizar la descarga y aplicar las correcciones es necesario acceder al portal de soporte de SAP:
Recomendaciones:
El servicio de Cyberthreats de Entelgy Innotec Security recomienda encarecidamente a los usuarios y administradores de sistemas que apliquen los parches de seguridad en cuanto se encuentren disponibles, con el fin de evitar la exposición a ataques externos y la toma de control de los sistemas informáticos.
Por el momento, no se han detectado medidas de mitigación alternativas a las actualizaciones ofrecidas por el fabricante para solucionar las vulnerabilidades.
Referencias:
