Avisos 18 de May, 2012

Múltiples vulnerabilitats a SAP NetWeaver

S'ha fet pública informació sobre diverses vulnerabilitats que afecten la plataforma Netweaver de SAP, que podrien permetre a un atacant remot sense necessitat d'autenticació, executar codi arbitrari i provocar una denegació de servei.

Recursos afectats:
SAP Netweaver 7.0 EHP1 (disp+work.exe version v7010.29.15.58313).
 SAP Netweaver 7.0 EHP2 (disp+work.exe version v7200.70.18.23869).
 Versions anteriors, pendent de validació formal del fabricant.
 

Impacte: Execució remota de codi, denegació de servei.

Solució:

De moment, el fabricant no ha publicat pegats per solucionar la vulnerabilitat. Aconsellem consultar la nota de seguretat de SAP 1687910 per obtenir més informació (veure Referències, requereix un compte al web de SAP).
 
Algunes mesures de mitigació proposades en l'avís de seguretat dels investigadors que han fet pública la vulnerabilitat són:
 Desactivar les Traces de Desenvolupador del procés del component de "processament de diàlegs" (Dialog Processing).
 Restringir l'accés als ports del servei de Dispatcher TCP (3200/3299).
 Restringir l'accés a les operacions de gestió dels processos de treball, i el manteniment SM04/SM50/SM66 perfil RZ10/RZ20.
 

Detall:

Les vulnerabilitats són de tipus desbordament de memòria intermèdia, i resideixen en el servei "Dispatcher", part del servidor d'aplicacions SAP Netweaver ABAP. Aquestes vulnerabilitats poden ser explotades mitjançant paquets de tipus SAP Diag especialment manipulats, enviats a ports del rang TCP 3200-3299. Les diferents vulnerabilitats reportades, es podrien explotar amb el mateix vector d'enviament de paquets manipulats.
 
Identificadors CVE per les vulnerabilitats corregides:
 CVE-2012-2511
 CVE-2012-2512
 CVE-2012-2513
 CVE-2012-2514
 CVE-2012-2611
 CVE-2012-2612
 
Referències
 Nota de seguretat de SAP (requereix un compte al web de SAP).
 https://service.sap.com/sap/support/notes/1687910
 Avís de seguretat dels investigadors (CORE Security).
 http://www.coresecurity.com/content/sap-netweaver-dispatcher-multiple-vulnerabilities

Publicat a: Avisos