Basque Cyber Security Centre - Centro Vasco de Ciberseguridad

Actualización de seguridad de SAP de abril 2018

Fecha de publicación: 11/04/2018

Importancia: Crítica

Recursos afectados:

  • SAP Business Client
  • SAP Business One
  • SAP Visual Composer
  • SAP Business Objects
  • SAP Cloud Platform Connector
  • SAP Disclosure Management
  • SAP Solution Manager
  • Sybase PowerBuilder
  • SMP
  • Agentry
  • SAP Open Switch
  • SAP Open Server
  • SDK for SAP ASE
  • SYBASE SOFTWARE DEV KIT
  • SYBASE IQ
  • SAP IQ
  • Sybase SQL Anywhere
  • SAP SQL Anywhere
  • SAP SQL Anywhere OnDemand
  • SAP ASE
  • SAP Replication Server
  • SYBASE ECDA
  • SAP HANA Smart Data Streaming
  • SAP Complex Assembly Manufacturing
  • SAP Data Services
  • SAP Crystal Reports Server, OEM Edition
  • SAP Control Center and SAP Cockpit Framework

Descripción:

SAP ha publicado varias actualizaciones de seguridad de diferentes productos en su comunicado mensual.

Solución:

Visitar el portal de soporte de SAP e instalar actualizaciones o parches necesarios según indique el fabricante.

Detalle:

SAP, en su comunicación mensual de parches de seguridad, ha emitido un total de 8 notas de seguridad y 4 actualizaciones, siendo 1 de ellas de severidad crítica, 4 altas y el resto de criticidad media.

El tipo de vulnerabilidades publicadas se corresponde a los siguientes:

  • 2 vulnerabilidades de inyección de código.
  • 2 vulnerabilidades de cross-site scripting.
  • 2 vulnerabilidades de divulgación de información.
  • 1 vulnerabilidad de denegación de servicio.
  • 1 vulnerabilidad de incorrecta limitación de rutas de directorio (Directory/Path transversal).
  • 4 vulnerabilidades de otro tipo.

La nota de seguridad calificada como crítica se refieren a:

  • Corrupción de memoria: un atacante puede inyectar código en memoria especialmente diseñado lo que puede provocar una denegación de servicio o la ejecución remota de código.

En cuanto a las etiquetadas con severidad alta una de ellas es una denegación de servicio, otra a un manejo incorrecto de las sesiones en SAP Business Objects y dos actualizaciones de notas de seguridad anteriores.

Etiquetas: Actualización, SAP, Vulnerabilidad