Descripción
SAP NetWeaver Application Server ABAP no valida suficientemente cierta entrada de red procesada por un componente interno. Un atacante no autenticado podría enviar tráfico de red especialmente manipulado para provocar una condición de corrupción de memoria en la funcionalidad afectada. Una explotación exitosa podría permitir al atacante ejecutar código arbitrario y comprometer por completo el sistema, lo que genera un impacto alto en la confidencialidad, integridad y disponibilidad del sistema.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- SAP NetWeaver AS ABAP (Internet Communication Manager) Afectadas: KRNL64UC 7.53 · KERNEL 7.53 · 7.54 · 7.77 · 7.93 · 9.16 · 9.18 · 9.20
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en me.sap.comme.sap.com/notes/3778530
- Referencia en url.sapurl.sap/sapsecuritypatchday
Ver el texto original en inglés (CVE.org)
Memory Corruption Vulnerability in SAP NetWeaver AS ABAP (Internet Communication Manager)
SAP NetWeaver Application Server ABAP does not sufficiently validate certain network input processed by an internal component. An unauthenticated attacker could send specially crafted network traffic to trigger a memory corruption condition in the affected functionality. Successful exploitation could allow the attacker to execute arbitrary code and fully compromise the system, resulting in a high impact on confidentiality, integrity and availability of the system.