Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

Argitalpen data: 2019/12/11

Garrantzia: Kritikoa

Kaltetutako baliabideak:

• SAP Business Client, 6.5 bertsioa;
• SAP Adaptive Server Enterprise, 15.7 eta 16.0 bertsioak;
• SAP BusinessObjects Business Intelligence Platform (Fiori BI Launchpad), 4.2 bertsioa;
• SAP ERP HCM (SAP_HRCES), 3. bertsioa;
• SAP Enable Now, 1911 bertsioa;
• SAP Portfolio and Project Management, S4CORE 102, 103, EPPM 100, CPRXRPM 500_702, 600_740 eta 610_740 bertsioak;
• SAP BusinessObjects Business Intelligence Platform (Monitoring Application), 4.1, 4.2 eta 4.3 bertsioak.

Azalpena:

SAPek hainbat produkturi buruzko segurtasun eguneraketa batzuk argitaratu ditu bere hileroko komunikatuan.

Konponbidea:

SAPen zerbitzu ataria bisitatzea, eta fabrikatzaileak adierazten duen moduan, beharrezkoak diren eguneraketa edo partxeak instalatzea.

Xehetasuna:

SAPek segurtasun partxeei buruz argitaratzen duen hileroko komunikatuan 6 segurtasun ohar eta eguneraketa bat argitaratu ditu. Horietatik 1 larritasun kritikokoa da eta 6 larritasun ertainekoak.

Argitaratutako ahultasun motak honako hauek dira:

• baimenaren egiaztapen gabeziako ahultasun bat;
• informazio zabalkunde erako 4 ahultasun;
• CSRF (Cross-Site Request Forgery) erako ahultasun bat;
• XSS (Cross-Site Scripting) erako ahultasun bat;
• beste era batzuetako 2 ahultasun.

Segurtasun ohartarazpen nagusia honi buruzkoa da:

• SAPek SAP Business Client-erako Google Chromium-en bertsio bateragarriaren eguneraketa argitaratu du, baina zerbitzua duen bertsioak oraindik ez ditu konpontzen Googlek argitaratutako CVE-2019-13720 eta CVE-2019-13721 ahultasunak. Gainera, CVE-2019-13720 ahultasuna baliatuko balitz, SAP sistemak zeharka kaltetuak izan litezke sare berera konektatutako ekipo bezero kutsatuen bidez. Hurrengo eguneraketak horren eraginak arindu litzake.

Gainerako ahultasunetarako honako identifikatzaileak erreserbatu dira: CVE-2019-0402, CVE-2019-0395, CVE-2019-0405, CVE-2019-0403, CVE-2019-0404, CVE-2019-0399 eta CVE-2019-0398.CVE-2019-0325 identifikatzailea erreserbatu egin da.

Etiketak: Eguneraketa, SAP, Ahultasuna