Destacados del Análisis de las Notas de Seguridad de SAP de Diciembre:

• Resumen de Diciembre: Se lanzaron trece parches de seguridad nuevos y actualizados de SAP, incluyendo una nota de máxima prioridad (HotNews) y cuatro notas de alta prioridad.

• Notas de Alta Prioridad de SAP: Se lanzaron dos notas nuevas que solucionan vulnerabilidades de «Falsificación de Solicitudes del Lado del Servidor» y «Divulgación de Información». Otras dos notas son re-publicaciones del Día de Parches de Noviembre.

SAP lanzó trece notas de seguridad en su Security Patch Day de diciembre

• La Nota de Seguridad de SAP #3542543, con un puntaje de severidad CVSS de 7.2, corrige una vulnerabilidad de Falsificación de Solicitud del Lado del Servidor (SSRF) en el Administrador de SAP NetWeaver (System Overview) dentro de la pila AS Java. El problema surge de un servlet vulnerable que carece de controles de autorización adecuados, lo que permite a posibles atacantes enumerar los puntos finales HTTP accesibles en la red interna a través de solicitudes HTTP cuidadosamente diseñadas. Si se explota con éxito, un atacante podría desencadenar un ataque SSRF que pudiera impactar en la integridad y confidencialidad de los datos.

• La Nota de Seguridad de SAP #3504390 proporciona una actualización a una vulnerabilidad inicialmente divulgada durante el Security Patch Day de noviembre. Se identificó una vulnerabilidad que puede ser explotada por un atacante no autenticado a través de solicitudes HTTP maliciosamente diseñadas. La actualización aumentó notablemente el puntaje de severidad CVSS de 5.3 a 7.5, elevando la clasificación de riesgo de la vulnerabilidad de Media a Alta.

• La Nota de Alta Prioridad #3520281 proporciona una actualización a una vulnerabilidad inicialmente divulgada durante el Security Patch Day de noviembre. Se detectó una vulnerabilidad de Cross-Site Scripting (XSS) en el SAP Webdispatcher. Esta actualización modifica principalmente la sección de ‘Razones y prerrequisitos’ de la nota original, sin requerir acciones adicionales de los clientes.

Análisis de la nueva nota HotNews en detalle:

• La Nota de Seguridad de SAP #3536965, con un puntaje CVSS de 9.1, es la única nota HotNews en diciembre. Se  identificó vulnerabilidades en los Servicios de Documentos de Adobe. Estas vulnerabilidades, rastreadas como CVE-2024-47578, CVE-2024-47579 y CVE-2024-47580, exponen a los sistemas afectados a posibles ataques de falsificación de solicitudes del lado del servidor (SSRF), acceso no autorizado a archivos y divulgación de información.

• La vulnerabilidad más grave (CVE-2024-47578) tiene un puntaje crítico de CVSS de 9.1 y permite a un usuario con privilegios administrativos potencialmente comprometer todo el sistema, leer o modificar archivos y alterar la disponibilidad del sistema. Las otras dos vulnerabilidades (CVE-2024-47579 y CVE-2024-47580) permiten a los administradores autenticados explotar servicios web relacionados con PDF para leer archivos internos del servidor mediante técnicas de manipulación sin comprometer la integridad o disponibilidad del sistema.

También está disponible una FAQ para la Nota de Seguridad de SAP en el #3544926.

Análisis de la nueva nota de Alta Prioridad en detalle:

• La Nota de Seguridad de SAP #3469791, con un puntaje CVSS de 8.5, reportada por ORL, permite a un atacante autenticado manipular solicitudes de Llamada a Función Remota (RFC), potencialmente permitiéndoles interceptar y explotar credenciales para servicios remotos. Al crear solicitudes RFC especialmente diseñadas para destinos restringidos, los actores malintencionados pueden obtener acceso no autorizado a credenciales de servicios sensibles, que luego podrían ser utilizadas para comprometer completamente el servicio remoto objetivo.

• Hay una solución temporal disponible que especifica que el parámetro del perfil “rfc/dynamic_dest_api_only = 1” desactivará completamente el destino dinámico heredado, bloqueando efectivamente el vector de explotación potencial para solicitudes RFC no autorizadas. Al implementar esta configuración, los administradores pueden prevenir temporalmente que los atacantes creen solicitudes maliciosas a destinos restringidos. Tenga en cuenta que esta es una solución temporal y, por lo tanto, se debe aplicar el parche para abordar completamente la vulnerabilidad.

SAP advierte que esta solución temporal puede causar fallos en todas las aplicaciones que utilicen destinos heredados.

Publicación completa del SAP Security Patch Day 12/24

¿Te ayudamos?

Contamos con una base de consultores certificados por SAP que brindan un excelente servicio de Administración SAP así como el análisis de vulnerabilidades SAP y remediación de las mismas.

Puedes contactarnos a través del formulario de contacto o a través de nuestra dirección de correo electrónico

En AURIT estaremos encantados de poder ayudarte.