Descripción
SAP NetWeaver Visual Composer no realiza verificaciones de autorización suficientes en ciertas funcionalidades del portal. Un atacante con privilegios bajos podría invocar operaciones internas en un sistema remoto preconfigurado. Según la configuración de la conexión remota, esto podría provocar el compromiso total del sistema remoto. Esto tiene un alto impacto en la confidencialidad, la integridad y la disponibilidad.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- SAP NetWeaver Visual Composer Afectadas: VC70RUNTIME 7.50
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en me.sap.comme.sap.com/notes/3797111
- Referencia en url.sapurl.sap/sapsecuritypatchday
Ver el texto original en inglés (CVE.org)
Broken Access Control in SAP NetWeaver Visual Composer
SAP NetWeaver Visual Composer does not perform sufficient authorization checks in certain portal functionality. An attacker with low privileges could invoke internal operations on a preconfigured remote system. Depending on the remote connection configuration, this could lead to a full compromise of the remote system. This results in a high impact on confidentiality, integrity and availability.