Actualizaciones críticas de seguridad en SAP

La actualización de seguridad incluye además de los 25 fallos de seguridad, 7 paquetes de soporte.

El fallo más común entre los detectados consiste en falta de chequeo de autorización, que permite acceder al servicio y utilizarlo sin estar autorizado.

Investigadores de la empresa de seguridad Onapsis han detectado un fallo crítico en SAP HANA que se corrige en esta actualización. Este fallo permitiría a un atacante tomar el control sobre el producto, pudiendo ver, editar e incluso borrar datos. Otro fallo en este producto permitiría la inyección de código en memoria, permitiendo tomar el control o provocar la indisponibilidad del sistema.

Los investigadores de ERPScan han detectado dos fallos críticos en SAP NetWeaver 7.4. Uno de estos fallos es una inyección de código SQL que consiste en que el atacante puede manipular una consulta SQL para recuperar o modificar datos de una base de datos. El otro fallo crítico permite el robo de información de autenticación (cookies, tokens de sesión y otra información crítica que se almacena en los navegadores) con la que suplantar a usuarios legítimos, por ejemplo a un administrador. Como los permisos de los administradores son extensos esto puede comprometer seriamente la seguridad de la aplicación.

Otros fallos detectados permitirán la divulgación de información privada, la ejecución de comandos del sistema operativo o el uso no autorizado de funcionalidades SAP específicas.