[et_pb_section fb_built=”1″ admin_label=”section” _builder_version=”4.16″ global_colors_info=”{}”][et_pb_row admin_label=”Imagen principal” _builder_version=”4.16″ background_size=”initial” background_position=”top_left” background_repeat=”repeat” global_colors_info=”{}”][et_pb_column type=”4_4″ _builder_version=”4.16″ custom_padding=”|||” global_colors_info=”{}” custom_padding__hover=”|||”][et_pb_image src=”https:\/\/orekait.com\/wp-content\/uploads\/2022\/12\/patch-day-diciembre.png” alt=”cloud-public” title_text=”patch-day-diciembre” admin_label=”Imagen principal” module_class=”post-img” _builder_version=”4.25.2″ _module_preset=”default” global_colors_info=”{}”][\/et_pb_image][\/et_pb_column][\/et_pb_row][et_pb_row admin_label=”Cuerpo” _builder_version=”4.25.2″ _module_preset=”default” global_colors_info=”{}”][et_pb_column type=”4_4″ _builder_version=”4.25.2″ _module_preset=”default” global_colors_info=”{}”][et_pb_text admin_label=”Texto” _builder_version=”4.25.2″ header_2_font_size=”24px” header_3_font_size=”20px” background_size=”initial” background_position=”top_left” background_repeat=”repeat” global_colors_info=”{}”]<\/p>\n
Para finalizar el a\u00f1o de la manera m\u00e1s segura posible, os traemos la \u00faltima publicaci\u00f3n del SAP security patch day en la que tratamos de divulgar esta informaci\u00f3n, con el objetivo de dar la importancia que tiene conocer estas vulnerabilidades y que como administradores de los sistemas apliquemos las medidas correctoras necesarias lo antes posible en nuestros clientes.<\/p>\n
En cuanto al an\u00e1lisis cuantitativo, en esta nueva publicaci\u00f3n del security patch day SAP ha publicado 19 notas, de las cuales 10 son de importancia\u00a0high<\/em>, y 5 de ellas han sido clasificadas como\u00a0hot news<\/em>.<\/p>\n Estas vulnerabilidades nos recuerdan la importancia de mantener nuestras aplicaciones corporativas actualizadas.<\/p>\n A continuaci\u00f3n, analizaremos estas 10 notas:<\/strong><\/p>\n 2622660 \u2013 [Update] Security updates for the browser control Google Chromium delivered with SAP Business Client<\/strong><\/p>\n Nueva actualizaci\u00f3n de la nota 2622660, una nota ya conocida por todos, que recopila las \u00faltimas actualizaciones del navegador basado en Chromium integrado en SAP Business Client.<\/p>\n En esta actualizaci\u00f3n, SAP mantiene al d\u00eda las versiones de SAP Business Client con las m\u00faltiples vulnerabilidades que se parchean en cada nueva versi\u00f3n de Chromium, por lo que es muy recomendable mantener actualizada la versi\u00f3n de SAP Bussines client que estemos utilizando.<\/p>\n En esta ocasi\u00f3n resuelve las vulnerabilidades recogidas en el\u00a0CVE-2022-41267<\/a>, como la recogida en la nota 3239475 que trataremos a continuaci\u00f3n.<\/p>\n 3239475 \u2013 [<\/strong>CVE-2022-41267<\/strong><\/a>] Server-Side Request Forgery vulnerability in SAP BusinessObjects Business Intelligence Platform<\/strong><\/p>\n Nueva vulnerabilidad en SAP Business Objects Platform que permite a un atacante con usuario de BI cargar o reemplazar archivos en el servidor de BO. Estos ficheros se guardar\u00e1n en el sistema operativo, permitiendo al atacante controlar el sistema impactando en la confidencialidad, integridad y disponibilidad de la aplicaci\u00f3n.<\/p>\n Para resolver esta vulnerabilidad es necesario actualizar a los SP indicados en la nota 3239475.<\/p>\n 3273480 \u2013 [<\/strong>CVE-2022-41272<\/strong><\/a>] Improper access control in SAP NetWeaver AS Java (User Defined Search)<\/strong><\/p>\n 3267780 \u2013 [<\/strong>CVE-2022-41271<\/strong><\/a>] Improper access control in SAP NetWeaver AS Java (Messaging System)<\/strong><\/p>\n Ambas notas recopilan la informaci\u00f3n sobre la misma vulnerabilidad, pero aplicadas a diferentes productos, por lo que las trataremos a la vez.<\/p>\n Un atacante no autenticado a trav\u00e9s de la red puede conectarse a una interfaz abierta expuesta a trav\u00e9s de JNDI por el mecanismo User Defined Search (UDS) de SAP NetWeaver AS Java y hacer uso de una API para acceder a servicios que pueden usarse para realizar operaciones no autorizadas que afectan a usuarios y datos en todo el sistema.<\/p>\n Esta vulnerabilidad permite que el atacante tenga acceso de lectura completo a los datos del usuario, realice modificaciones limitadas a los datos del usuario y degrade el rendimiento del sistema, lo que genera un alto impacto en la confidencialidad y un impacto limitado en la disponibilidad e integridad de la aplicaci\u00f3n.<\/p>\n Extendiendo la informaci\u00f3n de esta vulnerabilidad tenemos la nota \u201c3273729 \u2013 Impact of\u00a0CVE-2022-41271<\/a>\u00a0and\u00a0CVE-2022-41272<\/a>\u00a0on SAP NetWeaver and Process Orchestration\u201d que SAP va a continuar actualizando, por lo que estaremos pendientes de ella.<\/p>\n Los productos afectados son SAP \u201cProcess Orchestration\u201d (PO) y \u201cSAP Process Integration\u201c (PI).<\/p>\n La soluci\u00f3n pasa por actualizar al patch indicado en la nota 3273729 para el SP que disponemos, en este momento la informaci\u00f3n dada por SAP es la siguiente:<\/p>\n SP19 Patch 37 o superior La soluci\u00f3n para los SP17 y SP18 est\u00e1n siendo desarrolladas, y estar\u00e1n disponibles lo antes posible.<\/p>\n 3271523 \u2013 Remote Code Execution vulnerability associated with Apache Commons Text in SAP Commerce<\/strong><\/p>\n SAP Commerce usa una versi\u00f3n open source de \u201cJava library Apache Commons Text\u201d que tiene la vulnerabilidad\u00a0CVE-2022-42889<\/a>.<\/p>\n Las versiones afectadas pueden ser vulnerables a la ejecuci\u00f3n remota de c\u00f3digo o al contacto involuntario con servidores remotos si se utilizan valores de configuraci\u00f3n no seguros. Si la explotaci\u00f3n tiene \u00e9xito, el atacante puede comprometer por completo la confidencialidad, la integridad y la disponibilidad de la aplicaci\u00f3n.<\/p>\n Afecta a todas las versiones de SAP Commerce que usan versiones de \u201cApache Commons Text\u201d de la 1.5 a la 1.9 e interpolaci\u00f3n para \u201cStringSubstitutor\u201d.<\/p>\n SAP recomienda actualizar a un patch que resuelve esta vulnerabilidad, estas versiones vienen documentadas en la nota 3271523.<\/p>\n 3268172 \u2013 [<\/strong>CVE-2022-41264<\/strong><\/a>] Code Injection vulnerability in SAP BASIS<\/strong><\/p>\n Vulnerabilidad en el m\u00f3dulo SAP_BASIS por la que debido al alcance ilimitado del m\u00f3dulo de funci\u00f3n RFC, se permite que un atacante autenticado, no administrador, acceda a una clase de sistema y ejecute cualquiera de sus m\u00e9todos p\u00fablicos. En una explotaci\u00f3n exitosa, el atacante puede tener el control total del sistema al que pertenece la clase, lo que provoca un alto impacto en la integridad de la aplicaci\u00f3n.<\/p>\n Podemos solucionar esta vulnerabilidad implementando la nota 3268172 en nuestro sistema BW, que desactiva el c\u00f3digo obsoleto e impide que esta vulnerabilidad sea explotada.<\/p>\n Esta soluci\u00f3n desactiva el report RSDU_TABLE_CONSITENCY utilizado para comprobar la consistencia de tablas BW. Esta comprobaci\u00f3n de consistencia se puede seguir realizando, pero se puede seguir realizando en paralelo.<\/p>\n
SP20 Patch 31 o superior
SP21 Patch 30 o superior
SP22 Patch 21 o superior
SP23 Patch 14 o superior
SP24 Patch 13 o superior\u00a0
SP25 Patch 9\u00a0o superior<\/p>\n