Descripción
SAP S/4HANA (Manage Substitution/Validation Rules) no valida suficientemente la entrada procesada por la funcionalidad de definición de reglas, que utiliza un lenguaje de scripting específico del dominio. Un atacante autenticado con privilegios de negocio específicos podría enviar una entrada especialmente manipulada, que la lógica de procesamiento de reglas interpreta como código ABAP ejecutable. Una explotación exitosa podría permitir al atacante ejecutar código ABAP arbitrario en el sistema, lo que provocaría el compromiso total del sistema afectado y un alto impacto en su confidencialidad, integridad y disponibilidad.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- SAP S/4HANA (Manage Substitution/Validation Rules) Afectadas: S4CORE 105 · 106 · 107 · 108 · 109
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en me.sap.comme.sap.com/notes/3805589
- Referencia en url.sapurl.sap/sapsecuritypatchday
Ver el texto original en inglés (CVE.org)
Code Injection vulnerability in SAP S/4HANA (Manage Substitution/Validation Rules)
SAP S/4HANA (Manage Substitution/Validation Rules) does not sufficiently validate input processed by rule definition functionality that utilizes a domain-specific scripting language. An authenticated attacker with specific business privileges could submit specially crafted input, which is interpreted as executable ABAP code by the rule processing logic. Successful exploitation could allow the attacker to execute ABAP arbitrary code into the system, resulting in full compromise of the affected system and high impact on confidentiality, integrity, and availability of the system.