Descripción
SAP Manufacturing Integration and Intelligence no aplica de forma suficiente los límites de autorización en ciertas funcionalidades administrativas. Un atacante con privilegios de administrador de MII podría enviar una solicitud especialmente manipulada para crear una cuenta con privilegios elevados en el servidor de aplicaciones Java subyacente. Una explotación exitosa podría permitir al atacante obtener control administrativo sobre el sistema subyacente, extendiendo el impacto más allá de la aplicación vulnerable. Esto tiene un alto impacto en la confidencialidad, la integridad y la disponibilidad.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- SAP Manufacturing Integration and Intelligence (Configuration Service) Afectadas: XMII 15.4 · 15.5
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en me.sap.comme.sap.com/notes/3798788
- Referencia en url.sapurl.sap/sapsecuritypatchday
Ver el texto original en inglés (CVE.org)
Missing Authorization check in SAP Manufacturing Integration and Intelligence (Configuration Service)
SAP Manufacturing Integration and Intelligence does not sufficiently enforce authorization boundaries within certain administrative functionality. An attacker with MII administrator privileges could submit a specially crafted request to provision an account with elevated privileges on the underlying Java application server. Successful exploitation could allow the attacker to gain administrative control over the underlying system, extending the impact beyond the vulnerable application. This results in a high impact on confidentiality, integrity and availability.