Descripción
SAP Web Dispatcher y SAP NetWeaver Application Server ABAP (Internet Communication Manager) no realizan una validación suficiente de las solicitudes en cierta funcionalidad administrativa. En el contexto de Application Server ABAP y SAP Web Dispatcher, un atacante no autenticado podría engañar a un administrador con sesión iniciada para que visite un enlace malicioso. Visitar el enlace podría provocar acciones no deseadas en la sesión del administrador. Una explotación exitosa podría llevar al compromiso total del sistema operativo subyacente, lo que genera un impacto alto en la confidencialidad, integridad y disponibilidad.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- SAP Web Dispatcher and Internet Communication Manager Afectadas: WEBDISP 7.93 · 9.16 · XS_ADVANCED_RUNTIME 1.00 · KERNEL 7.93 · 9.20 · 9.21
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en me.sap.comme.sap.com/notes/3804858
- Referencia en url.sapurl.sap/sapsecuritypatchday
Ver el texto original en inglés (CVE.org)
Cross-Site Request Forgery (CSRF) vulnerability in SAP Web Dispatcher and Internet Communication Manager
SAP Web Dispatcher and SAP NetWeaver Application Server ABAP (Internet Communication Manager) do not perform sufficient request validation in certain administrative functionality. In the context of Application Server ABAP and SAP Web Dispatcher, an unauthenticated attacker could trick a logged-on administrator into visiting a malicious link. Visiting the link could cause unintended actions in the administrator's session. Successful exploitation could lead to a full compromise of the underlying operating system, resulting in a high impact on confidentiality, integrity, and availability.