Descripción
SAP NetWeaver Application Server ABAP and ABAP Platform no realiza las verificaciones de autorización necesarias para cierta funcionalidad interna. Un atacante con privilegios bajos podría invocar la funcionalidad afectada para ejecutar comandos arbitrarios del sistema operativo en el host subyacente. Una explotación exitosa podría afectar recursos más allá del componente vulnerable, lo que genera un impacto alto en la confidencialidad, integridad y disponibilidad del sistema.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- SAP NetWeaver and ABAP Platform Afectadas: KRNL64NUC 7.22 · 7.22EXT · KRNL64UC 7.22 · 7.53 · KERNEL 7.22 · 7.54 · 7.77 · 7.93 · 9.16
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en me.sap.comme.sap.com/notes/3792735
- Referencia en url.sapurl.sap/sapsecuritypatchday
Ver el texto original en inglés (CVE.org)
OS Command Injection vulnerability in ABAP Application Server for SAP NetWeaver and ABAP Platform
SAP NetWeaver Application Server ABAP and ABAP Platform does not perform necessary authorization checks for certain internal functionality. An attacker with low privileges could invoke affected functionality to execute arbitrary operating system commands on the underlying host. Successful exploitation could impact resources beyond the vulnerable component, resulting in a high impact on confidentiality, integrity and availability of the system.