Vulnerabilidad en SAP NetWeaver

Se ha anunciado una vulnerabilidad en SAP NetWeaver que podría permitir a atacantes remotos modificar la información de los sistemas SAP e incluso llegar a comprometer toda la información de la compañía.

NetWeaver es una plataforma compuesta por todas las aplicaciones SAP con objeto de lograr una mejor integración entre dichas aplicaciones, utilizar estándares para asegurar la interoperabilidad, aportar una gran flexibilidad, y reducir los costos. SAP NetWeaver es ampliamente utilizado en el mundo empresarial.

El problema reside en el componente System Landscape Directory o SLD (incluido en todos los SAP JAVA Application Servers). SLD actúa como repositorio central de información de las aplicaciones.

El mecanismo empleado para añadir nuevos sistemas al SLD no está adecuadamente asegurado por defecto, lo que puede dar lugar a que un atacante remoto sin autenticar pueda interactuar con el SLD y por el diseño de su arquitectura, podría llegar al compromiso total del sistema.

SAP ha publicado la SAP Note 1939334 para proporcionar versiones actualizadas de los componentes afectados. Los parches pueden descargarse desde:

https://service.sap.com/sap/support/notes/1939334.

Más información:

[Onapsis Security Advisory 2014-020] SAP SLD Information Tampering

http://seclists.org/fulldisclosure/2014/Jun/37

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Múltiples vulnerabilidades en SAP NetWeaver

George Nosenko, Alexander Polyakov,Evgeny Neyolov y Dmitry Chastukhin han descubierto varias vulnerabilidades en SAP NetWeaver que podrían permitir a atacantes remotos realizar ataques cross-site scripting, denegación de servicio e incluso revelaciónes de información sensible.

NetWeaver es una plataforma compuesta por todas las aplicaciones SAP con objeto de lograr una mejor integración entre dichas aplicaciones, utilizar estándares para asegurar la interoperabilidad, aportar una gran flexibilidad, y reducir los costos. SAP NetWeaver es ampliamente utilizado en el mundo empresarial.

A continuación una breve descripción de los fallos:

• La primera de las vulnerabilidades, con CVE-2014-1963, en la que un error al no validar correctamente los datos de entrada, podría ser aprovechado por un atacante remoto para causar una denegación de servicio a través de vectores no especificados.
  https://service.sap.com/sap/support/notes/1773912
       
• La segunda de las vulnerabilidades, con CVE-2014-1961, en la que un error no especificado en el módulo 'Portal WebDynPro', podría ser aprovechado por un atacante remoto para revelar información sensible del sistema.
  https://service.sap.com/sap/support/notes/1852146
       
• Al igual que la anterior, esta vulnerabilidad, con CVE-2014-1960, podría ser aprovechada para revelar información sensible, en este caso debido a un error de falta de comprobación de autorización.
  https://service.sap.com/sap/support/notes/1828885
       
• La cuarta de las vulnerabilidades, con CVE-2014-1964, en la que un error de validación de datos de entrada en 'SAP NetWeaver Integration Repository', podría ser aprovechado por un atacante remoto para afectar parcialmente a la integridad del sistema a través de un enlace especialmente manipulado.
  https://service.sap.com/sap/support/notes/1788080
     
• Por último, y al igual que la anterior, esta vulnerabilidad, con CVE-2014-1965, podría ser también aprovechada por un atacante remoto para afectar parcialmente a la integridad del sistema a través de un enlace especialmente manipulado. En este caso debido a un error de validación de datos de entrada en 'SAP NetWeaver Integration Repository'.
  https://service.sap.com/sap/support/notes/1442517

Se recomienda aplicar los parches indicados.

Más información:

ERPSCAN-14-001

http://erpscan.com/advisories/erpscan-14-001-sap-netweaver-message-server-dos/

ERPSCAN-14-002

http://erpscan.com/advisories/erpscan-14-002-sap-portal-webdynpro-path-disclosure/

ERPSCAN-14-004

http://erpscan.com/advisories/erpscan-14-004-sap-netweaver-solution-manager-missing-authorization-check-information-disclosure/

ERPSCAN-14-005

http://erpscan.com/advisories/erpscan-14-005-sap-netweaver-dir-error-xss/

ERPSCAN-14-006

http://erpscan.com/advisories/erpscan-14-006-sap-netweaver-pip-xss/

Juan Sánchez

jasanchez@hispasec.com

Inyección SQL en SAP NetWeaver 7

Se ha publicado una vulnerabilidad que afecta a SAP NetWeaver 7.30 y que podría permitir a un atacante remoto realizar ataques de inyección SQL.

NetWeaver es una plataforma compuesta por todas las aplicaciones SAP con objeto de lograr una mejor integración entre dichas aplicaciones, utilizar estándares para asegurar la interoperabilidad, aportar una gran flexibilidad, y reducir los costos. SAP NetWeaver es ampliamente utilizado en el mundo empresarial.

El problema reside en que determinadas entradas relacionadas con la función  "ABAD0_DELETE_DERIVATION_TABLE" no se filtran adecuadamente antes de ser empleadas en una consulta SQL. Esto podría emplearse para manipular consultas SQL y provocar inyecciones de código SQL.

La vulnerabilidad se ha reportado en la versión 7.30 (Basis 720 SP 0, Kernel 720 patch 68), aunque otras versiones podrían verse afectadas.

SAP ha publicado la nota de seguridad 1840249 en relación a este problema:

https://service.sap.com/sap/support/notes/1840249

Más información:

[DSECRG-13-016] SAP NetWeaver ABAD0_DELETE_DERIVATION_TABLE – SQL Injection

http://erpscan.com/advisories/dsecrg-13-016-sap-netweaver-abad0_delete_derivation_table

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Múltiples vulnerabilidades en productos SAP

Varios productos SAP ERP y NetWeaver han sufrido múltiples vulnerabilidades que podrían permitir ejecutar código arbitrario en los sistemas vulnerables.

Los productos afectados y una breve descripción de los fallos:

• SAP ERP Central Component (ECC) y SAP ERP Industry Solution (IS) for Healthcare: No se comprueban bien las transacciones, lo que puede llevar a eludir la seguridad y que usuarios no autorizados realicen transacciones no permitidas. Se recomienda aplicar la solución SAP Note 1691744 (https://service.sap.com/sap/support/notes/1691744)
     
• SAP NetWeaver: El componente SAP Basis Communication Services permite ejecutar comandos de shell con los privilegios del usuario SAP. Se ven afectados los productos anteriores a 7.30. Se recomienda aplicar la solución SAP Note 1674132.
  https://service.sap.com/sap/support/notes/1674132
      
• SAP ERP Manufacturing - Production Planning (SAP PP): Tampoco se comprueban bien las transacciones, lo que puede llevar a eludir la seguridad y que usuarios no autorizados realicen transacciones no permitidas. Se recomienda aplicar la solución SAP Note 1537089.
  https://service.sap.com/sap/support/notes/1537089

Se recomienda aplicar los parches indicados.

Más información:

ESNC-2013-003:

http://www.esnc.de/sap-security-audit-and-scan-services/security-advisories/39-remote-code-execution-in-sap-connect-communication-services.html

ESNC-2013-002:

http://www.esnc.de/sap-security-audit-and-scan-services/security-advisories/38-privilege-escalation-in-sap-production-planning-and-control.html

ESNC-2013-001:

http://www.esnc.de/sap-security-audit-and-scan-services/security-advisories/36-privilege-escalation-in-sap-is-healthcare.html

Laboratorio Hispasec

laboratorio@hispasec.com

Ejecución de código remoto en SAP NetWeaver 7

Se han publicado dos vulnerabilidades que afectan a SAP NetWeaver 7 y que podrían permitir a un atacante remoto ejecutar código arbitrario.

NetWeaver es una plataforma compuesta por todas las aplicaciones SAP con objeto de lograr una mejor integración entre dichas aplicaciones, utilizar estándares para asegurar la interoperabilidad, aportar una gran flexibilidad, y reducir los costos. SAP NetWeaver es ampliamente utilizado en el mundo empresarial.

Martin Gallo y Francisco Falcon, de Core Security, han descubierto dos vulnerabilidades en SAP NetWeaver 7, concretamente en 'Message Server' (msg_server.exe). Ambas vulnerabilidades podrían provocar una corrupción de la memoria y ser aprovechadas de forma remota para ejecutar código arbitrario en el sistema afectado. Están causadas por:

• Un error al validar el índice de un array en la función '_MsJ2EE_AddStatistics' (CVE-2013-1592)
      
• Un error en la función 'WRITE_C' al procesar paquetes con opcode 0x15 (CVE-2013-1593)

SAP ha publicado la nota de seguridad 1800603 en relación a estos problemas además de los parches necesarios para corregir ambas vulnerabilidades.

Más información:

SAP security note 1800603

https://service.sap.com/sap/support/notes/1800603

SAP Netweaver Message Server Multiple Vulnerabilities

http://www.coresecurity.com/content/SAP-netweaver-msg-srv-multiple-vulnerabilities

Juan José Ruiz

jruiz@hispasec.com

Acceso remoto a ficheros arbitrarios en SAP NetWeaver

Se ha publicado una vulnerabilidad en SAP NetWeaver que podría permitir a un atacante remoto leer cualquier archivo del sistema afectado.

NetWeaver es una plataforma compuesta por todas las aplicaciones SAP, que tiene el objetivo de lograr una mejor integración entre ellas, utilizar estándares para asegurar la interoperabilidad, aportar flexibilidad, y reducir costes. SAP NetWeaver es ampliamente utilizado en el mundo empresarial.

La vulnerabilidad está provocada por un error en el parser PMI XML cuando valida peticiones XML. Un atacante podría aprovechar este problema para leer cualquier archivo local.

SAP ha publicado un aviso (SAP Note 1721309) en el que informa sobre esta vulnerabilidad.

Más información:

SAP Note 1721309

https://service.sap.com/sap/support/notes/1721309

ERPScan (DSECRG-12-037):

http://erpscan.com/advisories/dsecrg-12-037-sap-netweaver-pmi-agent-configuration-xml-external-entity/

Antonio Ropero

ropero@hispasec.com

Twitter: @aropero

Ejecución de código remoto en SAP NetWeaver

Se han publicado tres vulnerabilidades que afectan a SAP NetWeaver y que podrían permitir a un atacante remoto ejecutar código arbitrario.

NetWeaver es una plataforma compuesta por todas las aplicaciones SAP con objeto de lograr una mejor integración entre dichas aplicaciones, utilizar estándares para asegurar la interoperabilidad, aportar una gran flexibilidad, y reducir los costos. SAP NetWeaver es ampliamente utilizado en el mundo empresarial.

En Zero Day Initiative (ZDI) han anunciado tres vulnerabilidades en "msg_server.exe" en SAP NetWeaver que podrían ser utilizadas por un atacante remoto sin autenticar para ejecutar código arbitrario. Son debidas a faltas de comprobación del tamaño de determinados parámetros y cadenas antes de utilizarlos.

Cuando se procesar paquetes con "opcode 0x43" y "sub-opcode 0x04", se utiliza un campo en el que el usuario indica el tamaño de la cadena "Parameter Name" y otros parámetros. De esta forma, un paquete especialmente manipulado podría provocar una corrupción de memoria y ser aprovechado para ejecutar código remoto en el contexto del proceso en ejecución.

SAP ha publicado una actualización para corregir estas vulnerabilidades.

Más información:

SAP Netweaver ABAP msg_server.exe Parameter Value Remote Code Execution

Vulnerability

http://www.zerodayinitiative.com/advisories/ZDI-12-104/

SAP Netweaver ABAP msg_server.exe Opcode 0x43 Remote Code Execution

Vulnerability

http://www.zerodayinitiative.com/advisories/ZDI-12-111/

SAP Netweaver ABAP msg_server.exe Parameter Name Remote Code Execution

Vulnerability

http://www.zerodayinitiative.com/advisories/ZDI-12-112/

Juan José Ruiz

jruiz@hispasec.com