TLP: White
NIVEL DE RIESGO – CVSS v3.1: 10 [Crítico]
Acción Requerida: Aplicar las actualizaciones de seguridad que corrigen la vulnerabilidad en vCenter Server.
Vector de ataque: Red, Acceso Remoto.
Impacto: Ejecución de código arbitrario en el dispositivo afectado y extracción de información.

Descripción

Se ha identificado una vulnerabilidad en SAP que aborda una falla crítica con identificador CVE-2020-6287 que afecta al asistente de configuración LM del componente Java del servidor de aplicaciones SAP NetWeaver (AS), lo que podría ser aprovechado por un atacante no autenticado a través del Protocolo de transferencia de hipertexto (HTTP) para tomar el control de aplicaciones SAP confiables.

Esta vulnerabilidad está presente de forma predeterminada en las aplicaciones de SAP que se ejecutan sobre SAP NetWeaver AS Java 7.3 y cualquier versión más reciente (hasta SAP NetWeaver 7.5), además de que se produce debido a la falta de autenticación en un componente web de SAP NetWeaver AS para Java que permite varias actividades con privilegios altos en el sistema SAP.

Derivado de lo anterior, se podrían realizar una amplia gama de tareas maliciosas que incluyen, entre otras, leer, modificar o eliminar registros financieros, eliminar o modificar rastros, registros y otros archivos, así como interrumpir el funcionamiento del sistema al corromper los datos o cerrarlo por completo.

Nivel de riesgo

  • CVSS v3.1: 10 [Critico]

Sistemas/tecnologías afectadas:

Vulnerabilidad CVE-2020-6287

  • SAP Enterprise Resource Planning,
  • SAP Product Lifecycle Management,
  • SAP Customer Relationship Management,
  • SAP Supply Chain Management,
  • SAP Supplier Relationship Management,
  • SAP NetWeaver Business Warehouse,
  • SAP Business Intelligence,
  • SAP NetWeaver Mobile Infrastructure,
  • SAP Enterprise Portal,
  • SAP Process Orchestration/Process Integration),
  • SAP Solution Manager,
  • SAP NetWeaver Development Infrastructure,
  • SAP Central Process Scheduling,
  • SAP NetWeaver Composition Environment, and
  • SAP Landscape Manager.

Medidas de contención

  • Definir líneas base de seguridad integrales para los sistemas y monitorear continuamente las violaciones de cumplimiento y así corregir las desviaciones detectadas.
  • Limitar los host y direcciones IP que pueden tener comunicación con los sistemas vulnerables.
  • Implementar controles de seguridad que implementen “virtual patching”.
  • Analizar los sistemas en busca de autorizaciones de usuario maliciosas.
  • Monitorear los sistemas para detectar comportamientos sospechosos de los usuarios, incluidos usuarios privilegiados y no privilegiados.

Medidas de erradicación

  • Aplicar las actualizaciones de seguridad liberadas por el fabricante.
  • En caso de no poder actualizar inmediatamente los sistemas, se recomienda deshabilitar el servicio del Asistente de configuración de LM.

Referencias