Descripción
SAP NetWeaver no realiza las verificaciones de autorización necesarias y carece de una validación suficiente de la entrada en cierta funcionalidad habilitada para acceso remoto. Un atacante con privilegios bajos podría enviar una entrada especialmente manipulada a través de una interfaz remota para inyectar y ejecutar código arbitrario en el sistema afectado. Una explotación exitosa podría extender el alcance del atacante más allá del componente vulnerable, lo que genera un impacto alto en la confidencialidad, integridad y disponibilidad.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- S4CRM Afectadas: S4CRM 204 · 205 · 206 · S4CEXT 107 · 108 · 109 · BBPCRM 713 · 714
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en me.sap.comme.sap.com/notes/3834842
- Referencia en url.sapurl.sap/sapsecuritypatchday
Ver el texto original en inglés (CVE.org)
Missing authorization check in S4CRM
SAP NetWeaver does not perform necessary authorization checks and lacks sufficient input validation in certain remote-enabled functionality. An attacker with low privileges could send specially crafted input through a remote interface to inject and execute arbitrary code within the affected system. Successful exploitation could extend the attacker's reach beyond the vulnerable component, resulting in a high impact on confidentiality, integrity and availability.