Se ha lanzado un nuevo aviso de seguridad sobre múltiples vulnerabilidades que afectan a productos de SAP, que permitirían a un atacante realizar inyección de comandos SQL (SQLi), escalamiento de privilegios, entre otros.
Las vulnerabilidades reportadas se componen de 7 (siete) de severidad “Crítica” y 5 (cinco) de severidad “Media”, entre ellas se destacan:
- CVE-2023-0016, de severidad “crítica” y puntuación de 9.9. Esta vulnerabilidad de inyección de comandos SQL (SQLi) se debe a una falla de validación de entradas en SAP Business Planning and Consolidation MS. Esto permitiría a un atacante no autenticado obtener acceso no autorizado a la base de datos back-end y ejecutar consultas personalizadas en el sistema afectado.
- CVE-2023-0022, de severidad “crítica” y puntuación de 9.9. Esta vulnerabilidad se debe a una falla de validación de entradas en SAP BusinessObjects Business Intelligence Platform. Un atacante con acceso a la red podría realizar inyección de comandos especialmente diseñados y así incluso provocar denegación de servicio (DoS) en el sistema afectado.
- CVE-2023-0017, de severidad “crítica” y puntuación de 9.4. Esta vulnerabilidad se debe a una falla de seguridad en el control de acceso de interfaces abiertas expuestas en SAP NetWeaver AS para Java. Un atacante no autenticado podría obtener acceso no autorizado a los datos del sistema afectado, así como realizar modificaciones limitadas e incluso provocar denegación de servicio (DoS) en el sistema afectado.
Se puede acceder al listado completo de las vulnerabilidades aquí.
Algunos productos afectados son:
- SAP Business Planning and Consolidation MS 10.0, versiones 800, 810.
- SAP BusinessObjects Business Intelligence Platform (Edición de análisis para OLAP), versiones 420, 430.
- SAP NetWeaver AS para Java, versión 7.50.
- SAP Host Agent (Windows), versiones 7.21, 7.22.
Se puede acceder al listado completo de los productos afectados aquí.
Recomendamos instalar las actualizaciones correspondientes que serán provistas por el soporte de SAP en el siguiente enlace:
Referencias: