SAP corrige cuatro vulnerabilidades de CVSS 10.0, incluidas dos que permitían la ejecución remota de código.

Hoy se corrigieron cuatro vulnerabilidades que los atacantes podían explotar sin necesidad de iniciar sesión, como parte del Día Mensual de Parches de Seguridad de SAP. El proveedor les otorgó a las cuatro la máxima puntuación CVSS (10.0).

Tres de las vulnerabilidades se encuentran en el servidor de aplicaciones SAP NetWeaver, el software sobre el que se ejecutan los sistemas SAP, y una en el Web Dispatcher, que recibe las solicitudes web de internet y las reenvía a dicho servidor.

Según el proveedor, las vulnerabilidades en el Web Dispatcher y en el Administrador de Comunicaciones de Internet (ICM), que gestiona el tráfico web del servidor, podrían permitir a un atacante con acceso al software a través de la red ejecutar código.

La vulnerabilidad en el proveedor de servicios SAML 2.0 del servidor, que transfiere el inicio de sesión de los usuarios a un proveedor de identidad, podría permitir a un atacante iniciar sesión como cualquier usuario en algunos sistemas que utilizan el inicio de sesión único SAML.

La vulnerabilidad en SAP Gateway, que conecta el servidor con otros sistemas y programas SAP, podría permitir a un atacante suplantar la identidad de uno de los servidores del sistema y realizar acciones no autorizadas.

Ninguna de las cuatro requiere ninguna acción por parte del usuario para funcionar.