Descripción
SAP BusinessObjects Business Intelligence Platform (Web Intelligence) no restringe adecuadamente la resolución de entidades externas al procesar solicitudes de conexión OLAP. Un atacante autenticado podría explotar esta vulnerabilidad para acceder a recursos restringidos, lo que le permitiría leer archivos sensibles en el servidor y alcanzar sistemas internos que de otro modo no están expuestos, afectando recursos más allá del componente vulnerable. Esto genera un impacto alto en la confidencialidad y un impacto bajo tanto en la integridad como en la disponibilidad.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- SAP BusinessObjects Business Intelligence Platform (Web Intelligence) Afectadas: ENTERPRISE 430 · 2025 · 2027
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en me.sap.comme.sap.com/notes/3799117
- Referencia en url.sapurl.sap/sapsecuritypatchday
Ver el texto original en inglés (CVE.org)
XML External Entity (XXE) Vulnerability in SAP BusinessObjects Business Intelligence Platform (Web Intelligence)
SAP BusinessObjects Business Intelligence Platform (Web Intelligence) does not properly restrict external entity resolution when processing OLAP connection requests. An authenticated attacker could exploit this vulnerability to access restricted resources, enabling them to read sensitive files on the server and reach internal systems that are not otherwise exposed, impacting resources beyond the vulnerable component, resulting in a high impact on confidentiality and a low impact on both integrity and availability.