Descripción
SAP NetWeaver AS ABAP and ABAP Platform no realiza una verificación suficiente de las aserciones de autenticación entrantes en ciertas configuraciones. Un atacante no autenticado podría enviar datos especialmente manipulados para omitir la autenticación y suplantar a usuarios arbitrarios, incluidas cuentas con privilegios. Una explotación exitosa podría provocar el compromiso total del sistema, con un impacto que podría extenderse a componentes y sistemas conectados más allá del sistema afectado. Esto genera un impacto alto en la confidencialidad, integridad y disponibilidad de la aplicación.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- SAP NetWeaver AS ABAP and ABAP Platform (SAML2 Service Provider) Afectadas: SAP_BASIS 702 · SAP_BASIS 731 · SAP_BASIS 740 · SAP_BASIS 750 · SAP_BASIS 751 · SAP_BASIS 752 · SAP_BASIS 753 · SAP_BASIS 754 · SAP_BASIS 755 · SAP_BASIS 756
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en me.sap.comme.sap.com/notes/3849308
- Referencia en url.sapurl.sap/sapsecuritypatchday
Ver el texto original en inglés (CVE.org)
Missing Authentication in SAP NetWeaver AS ABAP and ABAP Platform (SAML2 Service Provider)
SAP NetWeaver AS ABAP and ABAP Platform does not perform sufficient verification of incoming authentication assertions under certain configurations. An unauthenticated attacker could submit specially crafted data to bypass authentication and impersonate arbitrary users, including privileged accounts. Successful exploitation could cause a full system compromise, with the impact potentially extending to connected components and systems beyond the affected system. This results in a high impact on confidentiality, integrity, and availability of the application.