sap

SAP publica 11 patches e corrige falha com gravidade grau 10

Vulnerabilidade não verifica autenticação no SAP NetWeaver AS JAVA (Comunicação de cluster P2P)
Da Redação
09/12/2020
Compartilhar no linkedin
Compartilhar no email
Compartilhar no whatsapp
Compartilhar no facebook
Compartilhar no twitter
Compartilhar no pinterest

A SAP publicou ontem, dia 8 de dezembro, 11 notas de segurança em seu Security Patch Day, quatro das quais classificadas como ‘hot news’. A mais importante delas trata uma vulnerabilidade por falta de verificação de autenticação (CVE-2020-26829) no SAP NetWeaver AS JAVA (Comunicação de cluster P2P). Essa falha tem gravidade máxima, com CVSS de grau 10. Entre os alertas houve a atualizações de duas notas publicadas anteriormente.

O CVE-2020-26829 foi identificado por pesquisadores de segurança da Onapsis, empresa especializada em proteção de aplicativos Oracle e SAP. Esse problema pode permitir que uma pessoa execute ações privilegiadas em uma conexão TCP mesmo sem estar autenticada.

Veja isso
Brechas no SAP Solution Manager poderiam ter facilitado invasões
SAP publica 29 correções, três para problemas graves

O invasor pode instalar novos provedores SSO confiáveis, alterar os parâmetros associados à conexão do banco de dados e acessar informações de configuração. Ao abusar dessas ações, pode “obter acesso privilegiado ao sistema SAP ou realizar um ataque de negação de serviço, tornando o sistema SAP inutilizável”, diz a informação da Onapsis.

A nota de segurança sobre esse bug é fornecida apenas para os pacotes de suporte que não tenham mais do que 24 meses. No entanto, uma solução é fornecida solução manual, para evitar que quaisquer “invasores em potencial se conectem à porta do socket do servidor P2P e espionem a comunicação entre os elementos do cluster”.

A segunda nota de segurança de ‘hot news’ do mês aborda a CVE-2020-26831 (pontuação CVSS de 9,6), uma falha de validação de XML ausente na BusinessObjects Business Intelligence Platform (Crystal Report). O bug permite que um invasor com privilégios básicos injete entidades XML à vontade, vazando arquivos e diretórios internos. Também são possíveis Server-side request forgery (SSRF) bem como ataques de negação de serviço (DoS).

A SAP também corrigiu um bug de injeção de código no Business Warehouse (Master Data Management) e BW4HANA (CVE-2020-26838, pontuação CVSS de 9,1). A falha pode ter recebido pontuação 10, mas exige que um invasor tenha altos privilégios para enviar solicitações elaboradas que levem à execução arbitrária de código.

A quarta ‘hot news’ do mês trata de um bug de injeção de código no NetWeaver AS ABAP e S / 4 HANA (componente SLT) que pode levar à execução de código arbitrário e comprometimento completo do sistema (CVE-2020-26808, pontuação CVSS 9.1). A nota foi lançada um dia após o patch de novembro.

Outra vulnerabilidade no mesmo componente anterior é a CVE-2020-26832 (pontuação CVSS 7,6). O problema é a falta de verificação de autorização, que pode permitir a um usuário com altos privilégios executar funções às quais não deveria ter acesso.

Outra hot news do mês aborda um path traversal e uma falta de verificação de autenticação no Solution Manager (CVE-2020-26837 e CVE-2020-26830, pontuação CVSS de 8,5).

“Explorando ambas as vulnerabilidades, um atacante remoto com acesso a um usuário sem privilégios pode comprometer parcialmente a disponibilidade ao tornar indisponíveis certos serviços. As explorações permitiriam até que o invasor obtivesse acesso a informações confidenciais, como nomes de usuário e senhas, que podem ser usados ​​para acessar outros sistemas SAP na paisagem”, explica a Onapsis.

O aviso do Security Patch Day da SAP para dezembro de 2020 também detalha seis notas de média e uma de baixa prioridade que tratam de upload irrestrito de arquivos, injeção de fórmula, falta de criptografia, XSS, falsificação de conteúdo, autenticação imprópria e vulnerabilidades de redirecionamento aberto.

Compartilhar:

Compartilhar no linkedin
Compartilhar no email
Compartilhar no whatsapp
Compartilhar no facebook
Compartilhar no twitter
Compartilhar no pinterest

Inscrição na lista CISO Advisor

* campo obrigatório