Impatto Sistemico

Alto (66.66)

Sintesi

Nell’ambito del Security Patch Day di novembre, SAP rilascia aggiornamenti di sicurezza per risolvere 42 nuove vulnerabilità, di cui 9 con gravità “critica” e 19 con gravità “alta”.

Tipologia

• Arbitrary Code Execution
• Security Restrictions Bypass
• Authentication Bypass
• Arbitrary File Read
• Information Disclosure
• Denial of Service
• Spoofing

Prodotti e/o versioni affette

SAP

• NetWeaver Application Server ABAP, versioni
• KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.18, 9.20, 9.21
• KRNL64NUC 7.22, 7.22EXT
• KRNL64UC 7.22, 7.22EX2, 7.22EX3, 7.22EXT, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.18, 9.20, 9.21
• SAP_BASIS 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 758, 816, 920, 921, 922
• Web Dispatcher, versioni
• HDB 2.00
• KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20, 9.21
• KRNL64UC 7.53
• SAP_EXTENDED_APP_SERVICES 1
• WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16
• XS_ADVANCED_RUNTIME 1.00, 1.0
• Gateway, versioni
• KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.20, 9.21
• KRNL64NUC 7.22, 7.22EXT
• KRNL64UC 7.22, 7.22EXT, 7.53, 8.04
• NetWeaver Knowledge Management (XML Forms), versione KMC-CM 7.50
• S4CRM, versioni
• BBPCRM 713, 714
• S4CEXT 107, 108, 109
• S4CRM 204, 205, 206
• BusinessObjects Business Intelligence Platform (Web Intelligence), versioni ENTERPRISE 430, 2025, 2027
• NetWeaver (Internet Graphics Service), versioni BC-FES-IGS 7.20_EX2, 7.20_EXT2, 7.20EXT, 7.53, 7.54, 7.81, 9.16
• Cloud SDK for Python, versioni precedenti alla 0.63.1
• NetWeaver Application Server (Message Server), versioni
• KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20, 9.21
• KRNL64NUC 7.22, 7.22EXT
• KRNL64UC 7.22, 7.22EXT, 7.53
• NetWeaver AS Java EDM Application, versione CE-RA-EDM 7.50
• Cloud SDK for AI(JavaScript), versioni fino alla 2.17.0 inclusa
• Host Agent, versione SAPHOSTAGENT 7.22
• ABAP Developer Tools (AMDP Data Preview), versioni SAP_BASIS 740, 750, 751, 752, 753, 754, 755, 756, 757, 758, 816, 920
• astonish, versioni precedenti alla 3.6.0

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza riportato nella sezione Riferimenti.

Di seguito sono riportate le sole CVE relative alle vulnerabilità con gravità “critica” e “alta”: