Boletín de seguridad de Protege tu Empresa 15-09-2021

Entre las vulnerabilidades publicadas en el boletín de seguridad de este mes destacan las consideradas de carácter crítico:

• La vulnerabilidad más crítica es del tipo ‘falta de verificación de autorización’ en el servicio Java Message Service (JMS) de SAP NetWeaver AS JAVA. El servicio JMS es un sistema de mensajería empresarial que proporciona un mecanismo para que las aplicaciones comerciales intercambien datos sin necesidad de conectarse directamente. La comunicación se realiza mediante mensajes punto a punto o del tipo publicación-suscripción. De no instalar el parche, los datos restringidos corren el riesgo de ser leídos, actualizados o eliminados.
• Otra vulnerabilidad crítica afecta a SAP NetWeaver Knowledge Management (SAP KM). Se trata de una vulnerabilidad en el módulo XSLT que permite a un atacante autenticado, no administrativo, crear un archivo de hoja de estilo XSL malicioso que contiene un script con comandos de nivel de sistema operativo, copiarlo en una ubicación para que el sistema acceda a él y luego activar el motor XSLT mediante otro archivo, para ejecutar el script contenido en el archivo XSL malicioso.
• También hay una vulnerabilidad que afecta a SAP Visual Composer, una herramienta que permite a los diseñadores de procesos de negocio modelar aplicaciones y prototipos sin escribir código. Se trata de una vulnerabilidad de ‘carga de archivos sin restricciones’. Un usuario sin permisos de administrador puede cargar un archivo malicioso en una red y activar su procesamiento, pudiendo ejecutar comandos del sistema operativo con privilegios. Los atacantes podrían leer y modificar cualquier información en el servidor o apagar el servidor, dejándolo no disponible.
• Otra de las vulnerabilidades es del tipo SQL Injection que afecta a los módulos que manejan el método Near Zero DownTime (NZDT) para reducir el tiempo de inactividad del sistema. Una desinfección incorrecta de datos de entrada permite que un usuario autenticado con ciertos privilegios llame de forma remota a estos módulos y ejecute consultas manipuladas para obtener acceso a la base de datos de backend. El parche desactiva total o parcialmente estos módulos.
• Otras vulnerabilidades críticas son del tipo ‘OS Command Injection’ o inyección de comandos de SO y ‘Reflected Cross-Site Scripting’ o secuencia de comandos en sitios cruzados reflejada y afectan a la aplicación de chat de SAP Contact Center. Un atacante podría inyectar un script malicioso en un mensaje de chat. Cuando los destinatarios del chat aceptan el mensaje, el script se ejecuta en su ámbito. El atacante puede ejecutar comandos a nivel del sistema operativo en el ámbito de los destinatarios del chat. Según SAP, esto podría llevar a un compromiso total de su confidencialidad e integridad, y también podría afectar temporalmente a su disponibilidad.

Tu soporte técnico puede consultar una solución más detallada en el área de avisos de INCIBE-CERT.