Inicio / Alerta Temprana / Avisos Seguridad / Actualización de seguridad de SAP de septiembre de 2021

Actualización de seguridad de SAP de septiembre de 2021

Fecha de publicación: 
15/09/2021
Importancia: 
5 - Crítica
Recursos afectados: 
  • SAP Business Client, versión 6.5, 7.0 y 7.70;
  • SAP NetWeaver Application Server Java (JMS Connector Service), versión 7.11, 7.20, 7.30, 7.31, 7.40 y 7.50;
  • SAP Business One, versión 10.0;
  • SAP S/4HANA, versión 1511, 1610, 1709, 1809, 1909, 2020 y 2021;
  • SAP LT Replication Server, versión 2.0 y 3.0;
  • SAP LTRS for S/4HANA, versión 1.0;
  • SAP Test Data Migration Server, versión 4.0;
  • SAP Landscape Transformation, versión 2.0;
  • SAP NetWeaver (Visual Composer 7.0 RT), versión 7.30, 7.31, 7.40 y 7.50;
  • SAP NetWeaver Knowledge Management XML Forms, versión 7.10, 7.11, 7.30, 7.31, 7.40 y 7.50;
  • SAP Contact Center, versión 700;
  • SAP Web Dispatcher:
    • WEBDISP, versión 7.49, 7.53, 7.77 y 7.81;
    • KRNL64NUC, versión 7.22, 7.22EXT y 7.49;
    • KRNL64UC, versión 7.22, 7.22EXT, 7.49 y 7.53;
    • KERNEL, versión 7.22, 7.49, 7.53, 7.77, 7.81 y 7.83;
  • SAP Analysis for Microsoft Office, versión 2.8;
  • SAP BusinessObjects Business Intelligence Platform (BI Workspace), versión 420;
  • SAP ERP Financial Accounting (RFOPENPOSTING_FR):
    • SAP_APPL, versión 600, 602, 603, 604, 605, 606 y 616;
    • SAP_FIN, versión 617, 618, 700, 720 y 730;
    • SAPSCORE, versión 125, S4CORE, 100, 101, 102, 103, 104 y 105;
  • SAP NetWeaver Enterprise Portal, versión 7.10, 7.11, 7.20, 7.30, 7.31, 7.40 y 7.50;
  • SAP 3D Visual Enterprise Viewer, versión 9.0.
Descripción: 

SAP ha publicado varias actualizaciones de seguridad en diferentes productos en su comunicado mensual.

Solución: 

Visitar el portal de soporte de SAP e instalar las actualizaciones o los parches necesarios, según indique el fabricante.

Detalle: 

SAP, en su comunicado mensual de parches de seguridad, ha emitido un total de 17 notas de seguridad y 2 actualizaciones de notas anteriores, siendo 7 de severidad crítica, 2 de severidad alta y 10 de severidad media.

Los tipos de vulnerabilidades publicadas se corresponden con los siguientes:

  • 1 vulnerabilidad de inyección de código,
  • 4 vulnerabilidades de XSS (Cross-Site Scripting),
  • 3 vulnerabilidades de revelación de información,
  • 2 vulnerabilidades de falta de comprobación de autenticación,
  • 2 vulnerabilidades de inyección de comandos del SO,
  • 2 vulnerabilidades de inyección SQL,
  • 2 vulnerabilidades de subida de archivos no restringida,
  • 6 vulnerabilidades de otro tipo.

Las notas de seguridad más destacadas se refieren a:

  • SAP NetWeaver Application Server Java (JMS Connector Service): se ha corregido una vulnerabilidad de falta de comprobación de autenticación que podría permitir a un atacante leer, modificar o eliminar datos restringidos. Se ha asignado el identificador CVE-2021-37535 para esta vulnerabilidad crítica.
  • SAP NetWeaver Knowledge Management: se ha corregido una vulnerabilidad que podría permitir a un atacante, no autenticado y sin privilegios de administrador, la inyección de código. Se ha asignado el identificador CVE-2021-37531 para esta vulnerabilidad crítica.
  • SAP NetWeaver (Visual Composer 7.0 RT): se ha corregido una vulnerabilidad de subida de archivos no restringida que podría permitir a un atacante sin privilegios de administrador realizar una escalada de privilegios para leer o modificar información del servidor o causar una condición de denegación de servicio. Se ha asignado el identificador CVE-2021-38163 para esta vulnerabilidad crítica.
  • SAP Contact Center: se han corregido vulnerabilidades de inyección de comandos del SO y XSS reflejado que podrían permitir a un atacante comprometer la confidencialidad, integridad y disponibilidad de la aplicación, inyectando un script malicioso en un mensaje de chat y aprovechando los controles ActiveX. Se ha asignado el identificador CVE-2021-33672 para estas vulnerabilidades críticas.
  • SAP NZDT Mapping Table Framework: se ha corregido una vulnerabilidad de inyección SQL que podría permitir a un atacante, autenticado y con privilegios, realizar consultas manipuladas para acceder a la base de datos del backend. Se ha asignado el identificador CVE-2021-38176 para esta vulnerabilidad crítica.

Para el resto de vulnerabilidades se han asignado los identificadores: CVE-2021-33698, CVE-2021-38162, CVE-2021-38177, CVE-2021-33685, CVE-2021-38175, CVE-2021-38150, CVE-2021-33679, CVE-2021-38164, CVE-2021-33686, CVE-2021-21489, CVE-2021-33688, CVE-2021-37532 y CVE-2021-38174.

Encuesta valoración