A SAP anunciou o lançamento de 14 notas de segurança novas e três atualizadas como parte do Security Patch Day de maio de 2024. Duas notificações de segurança novas e uma atualizada são classificadas como “notas quentes”, a mais alta gravidade no manual da SAP, abordando falhas críticas no Business Client, CX Commerce e NetWeaver Application Server ABAP e ABAP Platform.
A primeira das notas de segurança mais recentes resolve duas vulnerabilidades no Customer Experience (CX) Commerce, ambas impactando bibliotecas de terceiros no produto fabricante de software de gestão empresarial.
O mais grave dos bugs é o CVE-2019-17495 um problema de injeção de CSS na interface do usuário do Swagger que leva à exfiltração de valor do campo de entrada baseado em CSS usando a técnica Relative Path Overwrite (RPO). O escore dessa vulnerabilidade no sistema de pontuação comum de vulnerabilidades (CVSS) é de 9.8.
A SAP também corrigiu o CVE-2022-36364 — pontuação de 8.8 no CVSS —, uma falha de execução remota de código na biblioteca Apache Calcite Avatica, que existe porque o driver JDBC da biblioteca não executa verificações suficientes para interfaces esperadas antes de instanciar instâncias de cliente HTTP.
A segunda nova nota de notícias lançada no Security Patch Day de maio da SAP resolve o CVE-2024-33006 — pontuação de 9.6 no CVSS —, um bug de upload de arquivo no NetWeaver que existe porque falta uma verificação de assinatura para dois repositórios de conteúdo.
“Um invasor não autenticado pode enviar um arquivo malicioso para o servidor que, quando acessado por uma vítima, pode permitir que um invasor comprometa completamente o sistema”, explica a empresa de segurança de aplicativos Onapsis.
A nota de segurança atualizada oferece as atualizações de segurança mais recentes para o navegador baseado em Chromium no SAP Business Client, abordando um total de 23 vulnerabilidades, incluindo três bugs de alta gravidade.
Veja isso
Ciberataques a aplicativos SAP crescem rapidamente, diz relatório
SAP corrige vulnerabilidades críticas de injeção de comando
Na terça-feira, a SAP também anunciou patches para uma vulnerabilidade de cross-site scripting (XSS) de alta gravidade na plataforma BusinessObjects Business Intelligence, que existe porque a entrada do usuário não é suficientemente higienizada, permitindo que um invasor controle um parâmetro no URL do Opendocument.
As 13 notas de segurança restantes resolvem problemas de gravidade média e baixa no Enable Now Manager, NetWeaver, S/4HANA, My Travel Requests, Process Integration, Replication Server, BusinessObjects, Process Integration, Global Label Management, Bank Account Management e UI5 ( Visualizador de PDF).
O Onapsis Research Labs apoiou a SAP na correção da vulnerabilidade de upload de arquivos no SAP NetWeaver Application Server ABAP e ABAP Platform. Para acessá-la, clique aqui.
