Noticias

Actualización de seguridad de SAP - Febrero 2025

Fecha de publicación: 

SAP ha publicado su actualización mensual de seguridad donde se corrigen 19 nuevas notas de seguridad. Además, hubo 2 actualizaciones de las notas de seguridad publicadas anteriormente. Se han identificado varias vulnerabilidades en productos de Apache y SAP que podrían ser explotadas por atacantes para comprometer la confidencialidad, integridad y disponibilidad de los sistemas afectados. Apache Solr presenta múltiples vulnerabilidades, incluyendo omisión de autenticación e inicialización insegura de recursos, lo que permitiría accesos no autorizados y carga de código malicioso. Las plataformas SAP también están expuestas a riesgos significativos, como la generación de contraseñas inseguras en SAP BusinessObjects y la elusión de autenticación en SAP Approuter, permitiendo ataques de robo de sesiones. Otras vulnerabilidades incluyen Cross-site Scripting (XSS) y configuraciones inseguras de cookies en SAP Commerce, exponiendo datos sensibles y aumentando el riesgo de ataques. Se recomienda implementar las actualizaciones de seguridad disponibles para mitigar estos riesgos y proteger los activos críticos de la organización.

Recursos afectados

  • SAP NetWeaver AS Java (User Admin Application) - Version 7.50
  • SAP BusinessObjects Business Intelligence platform (Central Management Console) - Versions ENTERPRISE 430, 2025
  • SAP Supplier Relationship Management (Master Data Management Catalog) - Version SRM_MDM_CAT 7.52
  • SAP Approuter Library - @sap/approuter, Versions 2.6.1 to 16.7.1
  • SAP Enterprise Project Connection - Version 3.0
  • SAP HANA extended application services, advanced model (User Account and Authentication Services) - Version SAP_EXTENDED_APP_SERVICES 1
  • SAP Commerce - Versions HY_COM 2205, COM_CLOUD 2211
  • SAP NetWeaver Application Server Java - Versions EP-BASIS 7.50, FRAMEWORK-EXT 7.50
  • SAP Fiori Apps Reference Library (My Overtime Requests) - Version GBX01HR5 605
  • SAP NetWeaver and ABAP Platform (SDCCN) - Versions ST-PI 2008_1_700, ST-PI 2008_1_710, ST-PI 740
  • SAP NetWeaver Server ABAP - Versions SAP_BASIS 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 758
  • SAP NetWeaver AS Java for Deploy Service - Versions ENGINEAPI 7.50, SERVERCORE 7.50
  • SAP NetWeaver Application Server Java - Version WD-RUNTIME 7.50
  • SAP ABAP Platform (ABAP Build Framework) - Versions SAP_BASIS 750, 751, 752, 753, 754, 755, 756, 757, 758
  • SAP NetWeaver and ABAP platform (ST-PI) - Version ST-PI 2008_1_700, 2008_1_710, ST-PI 740
  • SAP Fiori for SAP ERP - Versions SAP_GWFND 740, 750, 751, 752, 753, 754, 755, 756, 757, 758

Análisis técnico

  • CVE-2024-45216: Vulnerabilidad de autenticación incorrecta en Apache Solr. Las instancias de Solr que utilizan PKIAuthenticationPlugin, que está habilitado de forma predeterminada cuando se utiliza la autenticación de Solr, son vulnerables a la omisión de la autenticación. Una terminación falsa al final de cualquier ruta de URL de la API de Solr permitirá que las solicitudes omitan la autenticación mientras se mantiene el contrato de API con la ruta de URL original. Esta terminación falsa parece una ruta de API desprotegida; sin embargo, se elimina internamente después de la autenticación pero antes del enrutamiento de API. Este problema afecta a Apache Solr: desde 5.3.0 hasta 8.11.4, desde 9.0.0 hasta 9.7.0. Se recomienda a los usuarios actualizar a la versión 9.7.0 o 8.11.4, que solucionan el problema.
  • CWE-863
  • CVSS: 9.8
  • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Explotación: No detectada
  • CVE-2025-0064: Bajo condiciones específicas, la Consola de Gestión Central de la plataforma SAP BusinessObjects Business Intelligence permite a un atacante con derechos de administrador generar o recuperar una frase de contraseña secreta, lo que le habilita para hacerse pasar por cualquier usuario en el sistema. Esto resulta en un alto impacto en la confidencialidad y la integridad, sin impacto en la disponibilidad.
  • CWE-732
  • CVSS: 8.7
  • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N
  • Explotación: No detectada
  • CVE-2025-25243: SAP Supplier Relationship Management (Catálogo de Gestión de Datos Maestros) permite a un atacante no autenticado utilizar un servlet disponible públicamente para descargar un archivo arbitrario a través de la red sin ninguna interacción del usuario. Esto puede revelar información altamente sensible sin impacto en la integridad o disponibilidad.
  • CWE-22
  • CVSS: 8.6
  • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
  • Explotación: No detectada
  • CVE-2024-45217: Vulnerabilidad de inicialización predeterminada insegura de recursos en Apache Solr. Los nuevos ConfigSets que se crean mediante un comando de restauración, que copian un configSet de la copia de seguridad y le dan un nuevo nombre, se crean sin configurar los metadatos "confiables". Los ConfigSets que no contienen el indicador se confían implícitamente si faltan los metadatos, por lo tanto, esto genera ConfigSets "confiables" que pueden no haberse creado con una solicitud autenticada. Los ConfigSets "confiables" pueden cargar código personalizado en los cargadores de clases, por lo tanto, se supone que el indicador solo se establece cuando la solicitud que carga el ConfigSet está autenticada y autorizada. Este problema afecta a Apache Solr: desde 6.6.0 hasta 8.11.4, desde 9.0.0 hasta 9.7.0. Este problema no afecta a las instancias de Solr que están protegidas mediante autenticación/autorización. Se recomienda principalmente a los usuarios que utilicen autenticación y autorización al ejecutar Solr. Sin embargo, actualizar a la versión 9.7.0 o 8.11.4 mitigará este problema.
  • CWE-1188
  • CVSS: 8.1
  • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
  • Explotación: No detectada
  • CVE-2025-24876: El paquete SAP Approuter Node.js versión v16.7.1 y anteriores es vulnerable a la elusión de autenticación. Al intercambiar un código de autorización, un atacante puede robar la sesión de la víctima inyectando una carga útil maliciosa, lo que causa un alto impacto en la confidencialidad y la integridad de la aplicación.
  • CWE-601
  • CVSS: 8.1
  • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
  • Explotación: No detectada
  • CVE-2024-38819: Las aplicaciones que ofrecen recursos estáticos a través de los marcos web funcionales WebMvc.fn o WebFlux.fn son vulnerables a ataques de traversal de directorios (path traversal). Un atacante puede manipular solicitudes HTTP maliciosas para obtener cualquier archivo del sistema de archivos al que también pueda acceder el proceso en el que se ejecuta la aplicación Spring.
  • CWE-22
  • CVSS: 7.5
  • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
  • Explotación: No detectada

Mitigación / Solución

SAP recomienda aplicar las actualizaciones de seguridad y parches disponibles de forma prioritaria para mitigar las vulnerabilidades identificadas. Se enfatiza la importancia de mantener un entorno SAP seguro mediante la aplicación oportuna de estas correcciones. Para más detalles sobre las configuraciones seguras y las mejores prácticas, los clientes deben consultar el Portal de Soporte de SAP.

Referencias adicionales