Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

Argitalpen data: 2020/04/15

Garrantzia: Kritikoa

Kaltetutako baliabideak:  

• SAP Commerce, 6.6, 6.7, 1808, 1811 eta 1905 bertsioak;
• SAP Diagnostic Agent (LM-Service), 7.20 bertsioa;
• SAP NetWeaver:
  • Knowledge Management, 7.00, 7.01, 7.02, 7.30, 7.31, 7.40 eta 7.50 bertsioak;
  • AS (Application Server) Java (HTTP Service), 7.10, 7.11, 7.20, 7.30, 7.31, 7.40 eta 7.50 bertsioak;
  • AS ABAP, versiones 700, 701, 702, 710, 711, 730, 731, 740, 750, 751, 752, 753, 754, 75A, 75B, 75C, 75D eta 75E bertsioak;
• SAP Business Objects Business Intelligence Platform, 4.1, 4.2 eta 4.3 bertsioak;
• SAP OrientDB, 3.0 bertsioa;
• SAP Solution Manager (Diagnostics Agent), 7.2 bertsioa;
• SAP Host Agent, 7.21 bertsioa;
• SAP Landscape Management, 3.0 bertsioa;
• SAP Adaptive Extensions, 1.0 bertsioa;
• SAP ERP, 618, 730 eta EAPPLGLO 607 bertsioak;
• SAP S/4 HANA, 100, 101, 102, 103, 104, FSAPPL 400, 450, 500 eta S4FPSL 100 bertsioak;
• SAP Business Client, 6.5 eta 7.0 bertsioak;
• SAP Commerce, 1811 eta 1905 bertsioak;
• SAP Fiori Launchpad, 753 eta 754 bertsioak.

Azalpena: 

SAPek hainbat produkturi buruzko segurtasun eguneraketa batzuk argitaratu ditu bere hileroko komunikatuan.

Konponbidea: 

SAPen zerbitzu ataria bisitatzea, eta fabrikatzaileak adierazten duen moduan beharrezkoak diren eguneraketa edo partxeak instalatzea.

Xehetasuna: 

SAPek segurtasun partxeei buruz argitaratzen duen hileroko komunikatuan 26 segurtasun ohar eman ditu ezagutzera. Horietatik 5 larritasun kritikokoak dira, beste 5 larritasun altukoak eta beste 16 larritasun ertainekoak. Gainera, guztizko 26 ohartarazpenen barnean, lehenagotik argitaratutako segurtasun oharren 3 eguneraketa ere argitaratu dira (2 larritasun kritikokoak eta 1 ertainekoa).

Argitaratutako ahultasun motak honako hauek dira:

•  XSS (Cross-Site Scripting) erako 11 ahultasun,
• informazio zabalkunde erako 4 ahultasun,
• autentifikazioaren egiaztapen gabeziako 3 ahultasun,
• kodearen injekzio erako 2 ahultasun,
• URLen birbideratze erako 2 ahultasun,
• bideetara kontrolatu gabeko sarbide erako ahultasun bat,
• autentifikazio faltako ahultasun bat;
• XMLren baliozkotze gabeziako ahultasun bat
• beste era batzuetako 8 ahultasun.

Ahultasun horietarako honako identifikatzaileak erabili dira: CVE-2020-6238, CVE-2019-0330, CVE-2020-6225, CVE-2020-6219, CVE-2020-6230, CVE-2020-6235, CVE-2020-6208, CVE-2020-6237, CVE-2020-6234, CVE-2020-6236, CVE-2020-6195, CVE-2020-6212, CVE-2020-6224, CVE-2020-6216, CVE-2020-6215, CVE-2020-6213, CVE-2020-6217, CVE-2020-6229, CVE-2020-6226, CVE-2020-6231, CVE-2020-6222, CVE-2020-6228, CVE-2020-6227, CVE-2020-6232, CVE-2020-6210, CVE-2020-6214 y CVE-2020-6233.

Etiketak: Eguneraketa, SAP, Ahultasuna