• +54 (011) 4323-9362

  • de Lun a Vie de 9 a 17 hs

  • ciberseguridad@ba-csirt.gob.ar

  • ############################
    |A|L|E|R|T|A|S| |B|A|-|C|S|I|R|T|
    ############################

    Actualización de seguridad de SAP de Mayo 2018
    10/05/2018
    =============================================
    ACTUALIZACIÓN
    Fecha de lanzamiento: 10/05/2018
    Gravedad: Alta
    =============================================

    VULNERABILIDAD
    --------------------------------------------------------------------------------

    SAP ha publicado varias actualizaciones de seguridad de diferentes productos en su comunicado mensual.

    INFORMACIÓN
    --------------------------------------------------------------------------------

    SAP Business Suite es un conjunto de programas que permiten a las empresas ejecutar y optimizar distintos aspectos como los sistemas de ventas, finanzas, operaciones bancarias, compras, fabricación, inventarios y relaciones con los clientes. Ofrece la posibilidad de realizar procesos específicos de la empresa o crear módulos independientes para funcionar con otro software de SAP o de otros proveedores. SAP está basado en una plataforma de tecnología integrada llamada NetWeaver.​ La suite puede soportar sistemas operativos, bases de datos, aplicaciones y componentes de hardware de casi cualquier proveedor.

    DESCRIPCIÓN
    --------------------------------------------------------------------------------

    SAP, en su comunicación mensual de parches de seguridad, ha emitido un total de 10 notas de seguridad y 1 actualización, siendo 9 de ellas de severidad media y una baja.

    El tipo de vulnerabilidades publicadas se corresponde a los siguientes:

    - 1 vulnerabilidad de carga de archivos no restringida
    - 1 vulnerabilidad de inyección de código
    - 3 vulnerabilidades de denegación de servicio
    - 1 vulnerabilidad de divulgación de información
    - 1 vulnerabilidad de falta de validación de XML
    - 3 vulnerabilidades de otro tipo

    Las vulnerabilidades más relevantes son las siguientes:

    - Carga de archivos no restringida en SAP Internet Graphics Server (IGS) que permitiría a un atacante la carga de cualquier archivo malicioso.
    - Denegación de servicio en SAP Internet Graphics Server (IGS) Portwatcher y en SAP Internet Graphic Server (IGS) RFC Listener que permitiría a un atacante impedir que los usuarios accedan a esos servicios.

    SISTEMAS AFECTADOS
    --------------------------------------------------------------------------------

    - SAP Internet Graphics Server, versiones 7.20, 7.20EXT, 7.45, 7.45, 7.49, 7.53
    - SAP MaxDB ODBC driver, versiones 7.9.09.07
    - SAP Identity Management, versión 8.0
    - SAP NetWeaver Application Server Java Web Container y HTTP Service
    - SAP Netweaver Security Audit Logging, versiones 7.21, 7.21EXT, 7.22, 7.22EXT, 7.40, 7.41, 7.42, 7.45, 7.50
    - SAP Enterprise Financial Services

    SOLUCIÓN
    --------------------------------------------------------------------------------

    Visitar el portal de soporte de SAP e instalar actualizaciones o parches necesarios según indique el fabricante.

    FUENTE
    --------------------------------------------------------------------------------

    https://www.certsi.es/