Primer Security Patch Day del año

Security Patch Day - Enero 25

Análisis del Security Patch Day para los muy cafeteros

SAP SECURITY

sDestacados del Análisis de las Notas de Seguridad de SAP de Enero del 25:

  • Resumen de Enero: Se lanzaron catorce nuevos parches de seguridad de SAP , incluyendo dos Notas de HotNews y tres Notas de Alta Prioridad.

  • Notas de Alta Prioridad de SAP: Vulnerabilidades críticas en SAP NetWeaver AS para ABAP y ABAP Platform
    pueden conducir a un compromiso completo del sistema.

Análisis de las notas HotNews

  • La Nota de Seguridad de SAP #3537476 parchea una vulnerabilidad de autenticación incorrecta que permite a un atacante robar credenciales de una comunicación RFC interna entre el servidor A (cliente HTTP) y el servidor B (atendiendo la solicitud) del mismo sistema. Estas credenciales pueden usarse en un paso posterior para iniciar una nueva comunicación HTTP entre un programa externo C y el servidor A pretendiendo ser una llamada interna contra el servidor A. Esto causa un alto impacto en la confidencialidad, integridad y disponibilidad de la aplicación.

  • La segunda vulnerabilidad de HotNews fue detectada en un informe de prueba que fue enviado a los clientes de manera no intencionada. Bajo ciertas condiciones, SAP NetWeaver AS para ABAP y ABAP Platform (Internet Communication Framework) permiten a un atacante leer información de credenciales descifradas en texto plano requerida para comunicarse con otros sistemas. Esto no solo pone al sistema local en alto riesgo, sino que también puede tener un impacto serio en otros sistemas. El parche incluido en la Nota de Seguridad de SAP #3550708 desactiva el informe vulnerable.

Análisis de la nuevas notas de Alta Prioridad en detalle:

La Nota de Seguridad de SAP #3550816, etiquetada con un puntaje CVSS de 8.8, desactiva algunos módulos de función habilitados para acceso remoto que podrían ser usados por un atacante para inyectar código SQL al acceder a bases de datos Informix. Esto les permite obtener control sobre los datos en la base de datos afectada, llevando a un compromiso completo de la confidencialidad, integridad y disponibilidad.

La Nota de Seguridad de SAP #3474398 parchea dos vulnerabilidades en SAP BusinessObjects Business Intelligence Platform:

Una vulnerabilidad de divulgación de información, etiquetada con un puntaje CVSS de 8.7, permite a un atacante no autenticado realizar secuestro de sesión a través de la red sin interacción del usuario. Los atacantes pueden acceder y modificar datos del usuario afectado en la aplicación y así causar un alto impacto en la confidencialidad y la integridad del sistema.

Una vulnerabilidad de Inyección de Código, etiquetada con un puntaje CVSS de 6.5, permite a un usuario autenticado con acceso restringido inyectar código JS malicioso. El código puede ser usado para leer información sensible del servidor y enviarla al atacante. En un paso posterior, el atacante podría usar esta información para hacerse pasar por un usuario altamente privilegiado, causando un alto impacto en la confidencialidad e integridad de la aplicación.

La Nota de Seguridad de SAP #3542533, etiquetada con un puntaje CVSS de 7.8, describe una vulnerabilidad de Secuestro de DLL en SAPSetup. La vulnerabilidad permite a un atacante con privilegios de usuario local o con acceso a la cuenta de Windows de un usuario corporativo comprometido obtener privilegios más altos. Esto puede llevar a un alto impacto en la confidencialidad, integridad y disponibilidad del servidor Windows, ya que los privilegios más altos podrían ser usados para moverse lateralmente dentro de la red y comprometer el directorio activo de la empresa.

Publicación completa del SAP Security Patch Day 01/25

SAP NoteTipoDescripciónPrioridadCVSS
3537476Nuevo[CVE-2025-0070] Autenticación Incorrecta en SAP NetWeaver ABAP Server y ABAP PlatformHotNews9.9
3550708Nuevo[CVE-2025-0066] Vulnerabilidad de Divulgación de Información en SAP NetWeaver AS para ABAP y ABAP Platform (Internet Communication Framework)HotNews9.9
3550816Nuevo[CVE-2025-0063] Vulnerabilidad de Inyección SQL en SAP NetWeaver AS para ABAP y ABAP PlatformAlta8.8
3474398Nuevo[CVE-2025-0061] Múltiples vulnerabilidades en SAP BusinessObjects Business Intelligence PlatformAlta8.7
3542533Nuevo[CVE-2025-0069] Vulnerabilidad de Secuestro de DLL en SAPSetupAlta7.8
3542698Nuevo[CVE-2025-0058] Vulnerabilidad de Divulgación de Información en SAP Business Workflow y SAP Flexible WorkflowMedia6.5
3540108Nuevo[CVE-2025-0067] Falta de verificación de Autorización en SAP NetWeaver Application Server JavaMedia6.3
3502459Nuevo[CVE-2025-0056] Vulnerabilidad de Divulgación de Información en SAP GUI para JavaMedia6.0
3472837Nuevo[CVE-2025-0055] Vulnerabilidad de Divulgación de Información en SAP GUI para WindowsMedia6.0
3503138Nuevo[CVE-2025-0059] Vulnerabilidad de Divulgación de Información en SAP NetWeaver Application Server ABAP (aplicaciones basadas en SAP GUI para HTML)Media6.0
3536461Nuevo[CVE-2025-0053] Vulnerabilidad de Divulgación de Información en SAP NetWeaver Application Server para ABAP y ABAP PlatformMedia5.3
3514421Nuevo[CVE-2025-0057] Vulnerabilidad de Cross-Site Scripting en SAP NetWeaver AS JAVA (Aplicación de Administración de Usuarios)Media4.8
3550674Nuevo[CVE-2025-0068] Falta de verificación de Autorización en Remote Function Call (RFC) en SAP NetWeaver Application Server ABAPMedia4.3

¿Te ayudamos?

Contamos con una base de consultores certificados por SAP que brindan un excelente servicio de Administración SAP así como el análisis de vulnerabilidades SAP y remediación de las mismas.

Puedes contactarnos a través del formulario de contacto o a través de nuestra dirección de correo electrónico

En AURIT estaremos encantados de poder ayudarte.Eneros