Según la Agencia de Seguridad Cibernética y de Infraestructura de los Estados Unidos (CISA), el fallo podría permitir a un atacante remoto y no autenticado obtener el control de las aplicaciones SAP y exfiltrar datos. CISA urge a las organizaciones a parchear la vulnerabilidad crítica, que podría permitir a los atacantes tomar el control de aplicaciones SAP seguras.
CISA ha emitido un alerta aconsejando a las organizaciones que parcheen inmediatamente sus sistemas internos y aquellos que están conectados a Internet.
Según CISA, la vulnerabilidad, indexada como CVE-2020-6287, afecta al componente Java del SAP NetWeaver Application Server (AS) LM Configuration Wizard. Podría permitir a un atacante remoto y no autenticado obtener el control de las aplicaciones SAP y robar o alterar datos, después de explotar el fallo a través del Protocolo de Transferencia de Hipertexto (HTTP).
En teoría, después de explotar con éxito el fallo, el atacante puede crear usuarios con altos privilegios y ejecutar comandos arbitrarios del sistema operativo con los privilegios de la cuenta de usuario de servicio SAP que tiene acceso sin restricciones a la base de datos SAP.
Onapsis Research Labs, que descubrió el fallo, lo ha denominado RECON (Remotely Exploitable Code On NetWeaver). La empresa advirtió que el bug, que tiene una puntuación de CVSS de 10 sobre 10, podría afectar a más de 40.000 clientes de SAP en todo el mundo.
SAP ha publicado un parche para la vulnerabilidad como parte de su paquete de actualizaciones de julio.
El fallo existe por defecto en las aplicaciones de SAP que se ejecutan sobre SAP NetWeaver AS Java 7.3 y cualquier otra versión más reciente (hasta SAP NetWeaver 7.5).
Los productos empresariales potencialmente vulnerables incluyen cualquier solución basada en SAP Java, como por ejemplo:
SAP Product Lifecycle Management
SAP Enterprise Resource Planning
SAP Supplier Relationship Management
SAP Supply Chain Management
SAP Customer Relationship Management
SAP NetWeaver Business Warehouse
SAP NetWeaver Mobile Infrastructure
SAP Business Intelligence
SAP Solution Manager
SAP Enterprise Portal
SAP NetWeaver Development Infrastructure
SAP Process Orchestration/Process Integration
SAP NetWeaver Composition Environment
SAP Landscape Manager
SAP Central Process Scheduling
“El impacto de este fallo es lo que lo hace diferente de otras vulnerabilidades de SAP”, dijo Pablo Artuso de Onapsis, que descubrió el fallo.
“Debido a que reside en una capa común, significa que varios productos de SAP son vulnerables – no sólo aquellos de cara a Internet, sino también aquellos que están estrechamente conectados con otros sistemas de SAP como el Solution Manager”.
Se aconseja a las organizaciones que actualmente no pueden parchear sus sistemas que mitiguen la vulnerabilidad desactivando el servicio del Asistente de Configuración LM.
Ilustración: Ivan Vranic via Unsplash
