{"id":2724,"date":"2023-06-20T08:00:31","date_gmt":"2023-06-20T06:00:31","guid":{"rendered":"http:\/\/192.168.20.3\/?p=2724"},"modified":"2024-12-11T13:44:51","modified_gmt":"2024-12-11T12:44:51","slug":"sap-security-patch-day-junio-2023","status":"publish","type":"post","link":"https:\/\/orekait.com\/es\/sap-security-patch-day-junio-2023\/","title":{"rendered":"SAP Security Patch Day
Junio 2023<\/span>"},"content":{"rendered":"

[et_pb_section fb_built=”1″ admin_label=”section” _builder_version=”4.16″ global_colors_info=”{}”][et_pb_row admin_label=”Imagen principal” _builder_version=”4.16″ background_size=”initial” background_position=”top_left” background_repeat=”repeat” global_colors_info=”{}”][et_pb_column type=”4_4″ _builder_version=”4.16″ custom_padding=”|||” global_colors_info=”{}” custom_padding__hover=”|||”][et_pb_image src=”https:\/\/orekait.com\/wp-content\/uploads\/2023\/06\/Patch-Day-2023.png” alt=”cloud-public” title_text=”Patch-Day-2023″ admin_label=”Imagen principal” module_class=”post-img” _builder_version=”4.25.2″ _module_preset=”default” global_colors_info=”{}”][\/et_pb_image][\/et_pb_column][\/et_pb_row][et_pb_row admin_label=”Cuerpo” _builder_version=”4.25.2″ _module_preset=”default” global_colors_info=”{}”][et_pb_column type=”4_4″ _builder_version=”4.25.2″ _module_preset=”default” global_colors_info=”{}”][et_pb_text admin_label=”Texto” _builder_version=”4.25.2″ header_2_font_size=”24px” header_3_font_size=”20px” background_size=”initial” background_position=”top_left” background_repeat=”repeat” hover_enabled=”0″ global_colors_info=”{}” sticky_enabled=”0″]<\/p>\n

A las puertas del verano SAP contin\u00faa ofreci\u00e9ndonos su resumen mensual de las nuevas vulnerabilidades solucionadas en este Security Patch Day de junio, en este post analizaremos las \u00faltimas notas de seguridad liberadas por SAP y las explicamos de la manera m\u00e1s sencilla posible.<\/p>\n

En cuanto al an\u00e1lisis cuantitativo, en esta ocasi\u00f3n, SAP ha publicado 13 notas, de las cuales 4 son de importancia high, y no ha liberado ninguna hot new.<\/p>\n

En esta ocasi\u00f3n, no vamos a destacar una nota en concreto, pero si queremos se\u00f1alar el esfuerzo de SAP en resolver vulnerabilidades de tipo Cross Site Scripting (XSS) ya que 9 de las 13 notas de esta publicaci\u00f3n resuelven vulnerabilidades de este tipo.<\/p>\n

3102769 \u2013 Cross-Site Scripting (XSS) vulnerability in SAP Knowledge Warehouse<\/strong><\/h2>\n

Actualizaci\u00f3n de la nota 3102769, que resuelve una vulnerabilidad de cross-site scripting (XSS) en Knowledge Warehouse. En esta actualizaci\u00f3n se renueva la informaci\u00f3n referente a la compatibilidad y parches de las versiones 7.31 y 7.40<\/p>\n

Esta vulnerabilidad afecta a SAP KW y permite a atacantes no autorizados llevar a cabo ataques XSS, pudiendo llegar a leer datos confidenciales.<\/p>\n

La soluci\u00f3n consiste en mantener SAP KW actualizado a las versiones indicadas en la nota 3102769, aunque tambi\u00e9n disponemos de un workaround documentado en la misma nota.<\/p>\n

3324285 \u2013 Stored Cross-Site Scripting (Stored XSS) vulnerability in UI5 Variant Management<\/strong><\/h2>\n

Nueva vulnerabilidad en UI5 por la que se podr\u00eda realizar un ataque de tipo Stored Cross Site Scripting. En caso de producirse una explotaci\u00f3n exitosa tendr\u00eda un impacto alto en la confidencialidad, pudiendo ser modificada la informaci\u00f3n, y en la disponibilidad de la aplicaci\u00f3n.<\/p>\n

SAP ha resuelto esta vulnerabilidad en las nuevas versiones de SAP_UI, en la nota 3324285 encontramos las versiones de SAP_UI que resuelven esta vulnerabilidad.<\/p>\n

3301942 \u2013 Missing Authentication in SAP Plant Connectivity and Production Connector for SAP Digital Manufacturing<\/strong><\/h2>\n

Vulnerabilidad que afecta a la integraci\u00f3n de SAP Plant Connectivity o Production Connector con SAP Digital Manufacturing ya que no validan la firma del JSON Web Token (JWT) en la solicitud HTTP enviada desde SAP Digital Manufacturing.<\/p>\n

Como consecuencia, los autores de llamada no autorizados de la red interna, podr\u00edan enviar solicitudes de servicio, lo que podr\u00eda afectar a la integridad de la integraci\u00f3n con SAP Digital Manufacturing.<\/p>\n

Para resolver esta vulnerabilidad deberemos seguir los pasos indicados en la nota 3304867.<\/p>\n

3326210 \u2013 Improper Neutralization of Input in SAPUI5<\/strong><\/h2>\n

Actualizaci\u00f3n de la nota 3326210, analizada en\u00a0nuestro Security patch day de mayo<\/a>. En esta actualizaci\u00f3n SAP ha actualizado las versiones de SAP_UI que contienen esta soluci\u00f3n y el workaround disponible.<\/p>\n

Como coment\u00e1bamos en mayo, debido a la neutralizaci\u00f3n incorrecta de la entrada en SAPUI5, se podr\u00eda realizar una inyecci\u00f3n de c\u00f3digo CSS, pudiendo bloquear la interacci\u00f3n del usuario con la aplicaci\u00f3n y permitiendo al atacante leer o modificar la informaci\u00f3n del usuario a trav\u00e9s de un ataque de phishing.<\/p>\n

Debemos actualizar a las versiones de SAPUI5 indicadas en la nota 3326210.
<\/strong><\/p>\n

En la siguiente tabla vemos todas las notas liberadas este mes para comprobar si aplican o no en vuestros sistemas:<\/strong><\/p>\n

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
Note<\/strong><\/td>\nCVE<\/strong><\/td>\nTitle<\/strong><\/td>\nPriority<\/strong><\/td>\nCVSS<\/strong><\/td>\n<\/tr>\n
3102769<\/td>\n[Update][CVE-2021-42063]<\/td>\nCross-Site Scripting (XSS) vulnerability in SAP Knowledge Warehouse<\/td>\nHigh<\/td>\n\u00a08.8<\/td>\n<\/tr>\n
3324285<\/td>\n[CVE-2023-33991]<\/td>\nStored Cross-Site Scripting (Stored XSS)vulnerability in UI5 Variant Management<\/td>\nHigh<\/td>\n\u00a08.2<\/td>\n<\/tr>\n
3301942<\/td>\n[CVE-2023-2827]<\/td>\nMissing Authentication in SAP Plant Connectivity and Production Connector for SAP Digital Manufacturing<\/td>\nHigh<\/td>\n\u00a07.9<\/td>\n<\/tr>\n
3326210<\/td>\n[Update][CVE-2023-30743]<\/td>\nImproper Neutralization of Input in SAPUI5<\/td>\nHigh<\/td>\n\u00a07.1<\/td>\n<\/tr>\n
3142092<\/td>\n[Update][CVE-2022-22542]<\/td>\nInformation Disclosure vulnerability in SAP S\/4HANA (Supplier Factsheet and Enterprise Search for Business Partner, Supplier and Customer)<\/td>\nMedium<\/td>\n\u00a06.5<\/td>\n<\/tr>\n
3318657<\/td>\n[CVE-2023-33984]<\/td>\nCross-Site Scripting (XSS) vulnerability in NetWeaver (Design Time Repository)<\/td>\nMedium<\/td>\n\u00a06.4<\/td>\n<\/tr>\n
3331627<\/td>\n[CVE-2023-33985]<\/td>\nCross-Site Scripting (XSS) vulnerability in SAP NetWeaver Enterprise Portal<\/td>\nMedium<\/td>\n\u00a06.1<\/td>\n<\/tr>\n
2826092<\/td>\n[CVE-2023-33986]<\/td>\nCross-Site Scripting (XSS) vulnerability in SAP CRM ABAP (Grantor Management)<\/td>\nMedium<\/td>\n\u00a06.1<\/td>\n<\/tr>\n
3322800<\/td>\n[Update] [CVE-2023-30742]<\/td>\nCross-Site Scripting (XSS) vulnerability in SAP CRM (WebClient UI)<\/td>\nMedium<\/td>\n\u00a06.1<\/td>\n<\/tr>\n
3315971<\/td>\n[Update] [CVE-2023-30742]<\/td>\nCross-Site Scripting (XSS) vulnerability in SAP CRM (WebClient UI)<\/td>\nMedium<\/td>\n\u00a06.1<\/td>\n<\/tr>\n
3319400<\/td>\n[Update] [CVE-2023-31406]<\/td>\nCross-Site Scripting (XSS) vulnerability in SAP BusinessObjects Business Intelligence platform<\/td>\nMedium<\/td>\n\u00a06.1<\/td>\n<\/tr>\n
1794761<\/td>\n[CVE-2023-32115]<\/td>\nSQL Injection in Master Data Synchronization (MDS COMPARE TOOL)<\/td>\nMedium<\/td>\n\u00a04.2<\/td>\n<\/tr>\n
3325642<\/td>\n[CVE-2023-32114]<\/td>\nDenial of Service in SAP NetWeaver (Change and Transport System)<\/td>\nLow<\/td>\n\u00a02.7<\/td>\n<\/tr>\n
3322800<\/td>\n[Update] [CVE-2023-30742]<\/td>\nCross-Site Scripting (XSS) vulnerability in SAP CRM (WebClient UI)<\/td>\nMedium<\/td>\n\u00a06.1<\/td>\n<\/tr>\n
3315971<\/td>\n[Update] [CVE-2023-30742]<\/td>\nCross-Site Scripting (XSS) vulnerability in SAP CRM (WebClient UI)<\/td>\nMedium<\/td>\n\u00a06.1<\/td>\n<\/tr>\n
3319400<\/td>\n[Update] [CVE-2023-31406]<\/td>\nCross-Site Scripting (XSS) vulnerability in SAP BusinessObjects Business Intelligence platform<\/td>\nMedium<\/td>\n\u00a06.1<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/figure>\n

Este mes SAP ha liberado 13 notas de seguridad de las cuales ninguna tiene una puntuaci\u00f3n CVSS por encima de 9.<\/strong><\/p>\n

\n\n\n\n\n\n\n\n\n\n\n
\u00a0<\/td>\nLOW<\/strong><\/td>\nMEDIUM<\/strong><\/td>\nHIGH<\/strong><\/td>\nHOT NEWS<\/strong><\/td>\nTOTAL<\/strong><\/td>\n<\/tr>\n
Junio<\/td>\n1<\/td>\n8<\/td>\n4<\/td>\n0<\/td>\n13<\/strong><\/td>\n<\/tr>\n
Mayo<\/td>\n3<\/td>\n10<\/td>\n9<\/td>\n2<\/td>\n24<\/strong><\/td>\n<\/tr>\n
Abril<\/td>\n3<\/td>\n15<\/td>\n1<\/td>\n5<\/td>\n24<\/strong><\/td>\n<\/tr>\n
Marzo<\/td>\n0<\/td>\n10<\/td>\n4<\/td>\n5<\/td>\n19<\/strong><\/td>\n<\/tr>\n
Febrero<\/td>\n0<\/td>\n20<\/td>\n5<\/td>\n1<\/td>\n26<\/strong><\/td>\n<\/tr>\n
Enero<\/td>\n0<\/td>\n5<\/td>\n0<\/td>\n5<\/td>\n12<\/strong><\/td>\n<\/tr>\n
TOTAL<\/strong><\/td>\n7<\/strong><\/td>\n68<\/strong><\/td>\n23<\/strong><\/td>\n18<\/strong><\/td>\n118<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/figure>\n

El desglose de vulnerabilidades encontradas en los sistemas SAP ha sido el siguiente:<\/strong><\/p>\n

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
\u00a0<\/td>\nEnero<\/strong><\/td>\nFebrero<\/strong><\/td>\nMarzo<\/strong><\/td>\nAbril<\/strong><\/td>\nMayo<\/strong><\/td>\nJunio<\/strong><\/td>\nTOTAL<\/strong><\/td>\n<\/tr>\n
Clickjacking<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n0<\/strong><\/td>\n<\/tr>\n
Code Injection<\/td>\n2<\/td>\n1<\/td>\n2<\/td>\n4<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n9<\/strong><\/td>\n<\/tr>\n
Cross-Site Scripting<\/td>\n3<\/td>\n12<\/td>\n4<\/td>\n1<\/td>\n5<\/td>\n9<\/td>\n34<\/strong><\/td>\n<\/tr>\n
Denial of Service<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n2<\/td>\n2<\/td>\n1<\/td>\n1<\/td>\n6<\/strong><\/td>\n<\/tr>\n
Improper authentication<\/td>\n4<\/td>\n4<\/td>\n2<\/td>\n3<\/td>\n1<\/td>\n\u00a0<\/td>\n14<\/strong><\/td>\n<\/tr>\n
Improper input validation<\/td>\n1<\/td>\n3<\/td>\n\u00a0<\/td>\n1<\/td>\n2<\/td>\n1<\/td>\n8<\/strong><\/td>\n<\/tr>\n
Information Disclosure<\/td>\n1<\/td>\n1<\/td>\n3<\/td>\n3<\/td>\n12<\/td>\n1<\/td>\n21<\/strong><\/td>\n<\/tr>\n
Memory corruption<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n2<\/td>\n\u00a0<\/td>\n1<\/td>\n\u00a0<\/td>\n3<\/strong><\/td>\n<\/tr>\n
Missing Authorization Check<\/td>\n\u00a0<\/td>\n1<\/td>\n4<\/td>\n5<\/td>\n1<\/td>\n1<\/td>\n12<\/strong><\/td>\n<\/tr>\n
Missing input Validation<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n0<\/strong><\/td>\n<\/tr>\n
Missing XML Validation<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n0<\/strong><\/td>\n<\/tr>\n
Remote Code Execution<\/td>\n2<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n2<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n4<\/strong><\/td>\n<\/tr>\n
Server Side Request Forgery<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n0<\/strong><\/td>\n<\/tr>\n
SQL Injection<\/td>\n1<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n\u00a0<\/td>\n1<\/td>\n2<\/strong><\/td>\n<\/tr>\n
Otros<\/td>\n2<\/td>\n6<\/td>\n3<\/td>\n6<\/td>\n3<\/td>\n2<\/td>\n22<\/strong><\/td>\n<\/tr>\n
\u00a0<\/td>\n16<\/strong><\/td>\n28<\/strong><\/td>\n22<\/strong><\/td>\n27<\/strong><\/td>\n26<\/strong><\/td>\n26<\/strong><\/td>\n135<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/figure>\n

La diferencia de notas liberadas y vulnerabilidades es debido a que una nota puede solucionar m\u00faltiples vulnerabilidades.<\/strong><\/p>\n

Nos despedimos recomendando pasarse por el apartado de security notes de SAP Me y analizar las notas liberadas desde la \u00faltima actualizaci\u00f3n de nuestros sistemas e instalar las que apliquen a los sistemas de cada empresa.<\/p>\n

Art\u00edculos anteriores de este mismo a\u00f1o 2023:<\/p>\n

FEBRERO 2023<\/a>\u00a0\u2013\u00a0MARZO 2023<\/a>\u00a0\u2013\u00a0ABRIL 2023\u00a0<\/a>\u00a0\u2013\u00a0MAYO2023<\/a><\/p>\n

[\/et_pb_text][\/et_pb_column][\/et_pb_row][et_pb_row admin_label=”M\u00e1s informaci\u00f3n” _builder_version=”4.25.2″ _module_preset=”default” global_colors_info=”{}”][et_pb_column type=”4_4″ _builder_version=”4.25.2″ _module_preset=”default” global_colors_info=”{}”][et_pb_text _builder_version=”4.25.2″ _module_preset=”default” global_colors_info=”{}”]<\/p>\n

M\u00e1s informaci\u00f3n:<\/p>\n

[\/et_pb_text][et_pb_button button_url=”https:\/\/orekait.com\/es\/area-administracion-sistemas” url_new_window=”on” button_text=”M\u00e1s informaci\u00f3n” module_class=”entrada-btn” _builder_version=”4.25.2″ _module_preset=”default” custom_button=”on” button_text_color=”#8156EA” button_bg_color=”RGBA(255,255,255,0)” button_border_color=”#8156EA” button_border_radius=”30px” button_font=”Plus Jakarta Sans|600|||||||” button_icon=”$||divi||400″ button_icon_color=”#8156EA” button_on_hover=”off” global_colors_info=”{}” button_text_color__hover_enabled=”on|desktop” button_text_color__hover=”#8156EA” button_bg_color__hover_enabled=”on|hover” button_bg_color__hover=”#8156EA” button_bg_enable_color__hover=”on” button_icon_color__hover_enabled=”on|hover” button_icon_color__hover=”#ffffff”][\/et_pb_button][et_pb_divider show_divider=”off” _builder_version=”4.25.2″ _module_preset=”default” custom_margin=”||40px||false|false” global_colors_info=”{}”][\/et_pb_divider][\/et_pb_column][\/et_pb_row][et_pb_row use_custom_gutter=”on” admin_label=”Noticias relacionadas titulo” module_id=”fondo-articulos” _builder_version=”4.25.2″ _module_preset=”default” background_color=”#f7f7f7″ width=”100%” global_colors_info=”{}”][et_pb_column type=”4_4″ _builder_version=”4.25.2″ _module_preset=”default” global_colors_info=”{}”][et_pb_divider show_divider=”off” _builder_version=”4.25.2″ _module_preset=”default” background_color=”RGBA(255,255,255,0)” custom_margin=”||40px||false|false” global_colors_info=”{}”][\/et_pb_divider][et_pb_heading title=”Quizas te pueda interesar” _builder_version=”4.25.2″ _module_preset=”default” title_level=”h2″ title_text_align=”center” global_colors_info=”{}”][\/et_pb_heading][et_pb_divider show_divider=”off” _builder_version=”4.25.2″ _module_preset=”default” custom_margin=”||30px||false|false” global_colors_info=”{}”][\/et_pb_divider][\/et_pb_column][\/et_pb_row][et_pb_row admin_label=”Noticias relacionadas” _builder_version=”4.25.2″ _module_preset=”default” width=”100%” custom_margin=”-150px||||false|false” custom_margin_tablet=”0px||||false|false” custom_margin_phone=”0px||||false|false” custom_margin_last_edited=”on|desktop” global_colors_info=”{}”][et_pb_column type=”4_4″ _builder_version=”4.25.2″ _module_preset=”default” global_colors_info=”{}”][et_pb_blog fullwidth=”off” posts_number=”3″ include_categories=”current” show_author=”off” show_date=”off” show_pagination=”off” _builder_version=”4.25.2″ _module_preset=”default” global_colors_info=”{}”][\/et_pb_blog][\/et_pb_column][\/et_pb_row][\/et_pb_section]<\/p>\n","protected":false},"excerpt":{"rendered":"

A las puertas del verano SAP contin\u00faa ofreci\u00e9ndonos su resumen mensual de las nuevas vulnerabilidades solucionadas en este Security Patch Day de junio, en este post analizaremos las \u00faltimas notas de seguridad liberadas por SAP y las explicamos de la manera m\u00e1s sencilla posible. En cuanto al an\u00e1lisis cuantitativo, en esta ocasi\u00f3n, SAP ha publicado […]<\/p>\n","protected":false},"author":3,"featured_media":2726,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_et_pb_use_builder":"on","_et_pb_old_content":"Lorem ipsum dolor sit amet consectetur adipiscing elit congue montes, imperdiet taciti erat elementum fermentum sem ante ultrices ridiculus, sagittis sociis egestas quisque ac semper quis odio. Aenean hendrerit ac metus dis nascetur aliquet mollis integer, rutrum vel laoreet posuere proin sagittis luctus est, tempus duis nisl ultrices parturient tempor praesent. Dignissim curabitur nascetur pellentesque augue fringilla pulvinar eros, tempus fames vehicula maecenas cubilia id, rutrum euismod integer ut scelerisque mus.\r\n\r\nVivamus auctor odio aenean rhoncus natoque dictum purus, volutpat pellentesque laoreet ridiculus consequat nisi varius euismod, augue platea convallis curae magnis taciti. Imperdiet nibh curabitur quisque orci consequat aenean pellentesque, cubilia duis senectus felis sed posuere tortor, magnis enim diam a odio sociis. Enim tellus nisl nec molestie augue luctus tempor habitant, nunc dictumst phasellus volutpat sem facilisis taciti, habitasse laoreet at turpis vel fermentum vulputate.","_et_gb_content_width":"","footnotes":""},"categories":[48,50],"tags":[],"class_list":["post-2724","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administracion-de-sistemas","category-sap-security-patch-day"],"_links":{"self":[{"href":"https:\/\/orekait.com\/es\/wp-json\/wp\/v2\/posts\/2724","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/orekait.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/orekait.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/orekait.com\/es\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/orekait.com\/es\/wp-json\/wp\/v2\/comments?post=2724"}],"version-history":[{"count":8,"href":"https:\/\/orekait.com\/es\/wp-json\/wp\/v2\/posts\/2724\/revisions"}],"predecessor-version":[{"id":21805,"href":"https:\/\/orekait.com\/es\/wp-json\/wp\/v2\/posts\/2724\/revisions\/21805"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/orekait.com\/es\/wp-json\/wp\/v2\/media\/2726"}],"wp:attachment":[{"href":"https:\/\/orekait.com\/es\/wp-json\/wp\/v2\/media?parent=2724"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/orekait.com\/es\/wp-json\/wp\/v2\/categories?post=2724"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/orekait.com\/es\/wp-json\/wp\/v2\/tags?post=2724"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}