SAP ha lanzado actualizaciones para solucionar múltiples vulnerabilidades como parte de sus parches de seguridad de julio de 2026, incluyendo una falla crítica en SAP NetWeaver Application Server ABAP.
La vulnerabilidad, identificada como CVE-2026-44747 (puntuación CVSS 9.9), es un fallo de escritura fuera de límites que permite a un atacante autenticado explotar errores lógicos en la gestión de memoria para provocar una corrupción de memoria, lo que puede resultar en acceso no autorizado a datos, modificación o indisponibilidad del sistema.
Como solución temporal, la nota propone deshabilitar todos los nodos ICF con una propiedad específica en la transacción SICF. Dado que la solución deshabilitará la apertura de transacciones en SAP GUI para HTML, no es una opción para todos los clientes y se recomienda encarecidamente instalar la versión del kernel ABAP parcheada.
Además, SAP abordó otras dos vulnerabilidades críticas: CVE-2026-27690 (CVSS 9.1), un fallo de contrabando de solicitudes/respuestas HTTP en implementaciones de SAP Approuter en entornos que no son Cloud Foundry, que permite a un atacante no autenticado enviar una solicitud HTTP especialmente diseñada, provocando desincronización y exposición de respuestas de usuario, así como ataques de denegación de servicio (DoS). Y CVE-2026-44761 (CVSS 9.1), un fallo de uso de credenciales predeterminadas en SAP Commerce Cloud que puede conservar un cliente OAuth 2.0 de muestra con credenciales de muestra documentadas públicamente, provenientes de una configuración de ejemplo proporcionada en la documentación de SAP Help Portal.
Si no se modifica, un atacante no autenticado podría usar estas credenciales conocidas para obtener un token de acceso válido e invocar ciertas API para leer y modificar datos. La explotación exitosa resulta en un alto impacto en la confidencialidad e integridad, sin impacto en la disponibilidad.
Onapsis señaló que la vulnerabilidad se origina en scripts de configuración de muestra proporcionados anteriormente en SAP Help Portal. Estos scripts, originalmente destinados al desarrollo y pruebas, configuran clientes OAuth 2.0 con credenciales codificadas y bien conocidas. Las versiones antiguas de la documentación no advertían explícitamente a los clientes contra la importación de estos valores predeterminados en producción. Un atacante no autenticado puede aprovechar estas credenciales públicas predeterminadas para obtener un token de acceso válido y alterar datos del sistema.
Es importante destacar que los clientes que eliminaron el cliente de muestra o reemplazaron el secreto con un valor fuerte y único no se ven afectados. Se recomienda auditar los entornos de producción para detectar la presencia del cliente OAuth 2.0 de muestra afectado y, si existe, eliminarlo.
Aunque no hay evidencia de que estas fallas estén siendo explotadas activamente, se aconseja aplicar las actualizaciones necesarias para una protección óptima.
Deja una respuesta