SAP ha publicado en noviembre 43 notas de seguridad nuevas y actualizadas, 12 de ellas HotNews. Onapsis Research Labs participó en 24, entre ellas dos vulnerabilidades con la puntuación máxima de 10.0.
El día de parches de seguridad de SAP en noviembre es mucho más extenso de lo habitual. Según el especialista en seguridad Onapsis, SAP ha publicado una cifra récord de 43 notas de seguridad nuevas y actualizadas, entre ellas 12 HotNews y 13 de alta prioridad. Dos de los fallos, ICM2SHELL y PROXYGATE, alcanzan la puntuación CVSS máxima de 10.0 y permiten a atacantes remotos ejecutar comandos del sistema operativo en un host SAP sin necesidad de iniciar sesión.
Onapsis Research Labs ha contribuido de forma decisiva a esta publicación. Según la empresa, 24 de las notas de seguridad proceden de sus informes y abordan 36 vulnerabilidades en total; 14 de ellas se descubrieron junto con XBOW y se comunicaron a SAP. Siete de las 12 notas HotNews y diez de las 13 de alta prioridad se notificaron con la participación del laboratorio. Onapsis sitúa las 25 notas HotNews y de alta prioridad muy por encima de la media mensual habitual y aconseja a las organizaciones evaluar todas las vulnerabilidades y vigilar de forma continua la exposición de sus entornos SAP críticos.
ICM2SHELL (CVE-2026-76964 y CVE-2026-89126) afecta a la forma en que el SAP Internet Communication Manager (ICM) procesa el tráfico WebSocket. El mismo código lo utiliza el SAP Web Dispatcher, por lo que ambos componentes están afectados. Una explotación con éxito permite a un atacante no autenticado ejecutar comandos del sistema operativo con los privilegios del usuario administrador de SAP (<sid>adm) y tomar el control total del sistema. Los atacantes también podrían bloquear el ICM o el Web Dispatcher e interrumpir los servicios web que hay detrás. Cuando los servicios aceptan conexiones WebSocket sin autenticación, no se necesitan credenciales ni interacción del usuario; que sea posible una explotación sin autenticación depende de la versión del kernel. Onapsis Research Labs estima que miles de sistemas SAP con interfaces HTTP basadas en ICM podrían ser accesibles desde internet. Desactivar la compatibilidad con WebSocket es una solución provisional posible, pero Onapsis lo desaconseja por su impacto en escenarios interactivos y de integración.
PROXYGATE (CVE-2026-89103) apunta al SAP Gateway. Con una secuencia de paquetes de datos especialmente manipulada, un atacante externo puede hacer creer al gateway que pertenece a un host interno del sistema SAP. Las listas de control de acceso del gateway aprueban entonces la solicitud y los comandos del sistema operativo se ejecutan con los privilegios de <sid>adm. Según Onapsis, ni siquiera las listas secinfo y reginfo reforzadas detienen el ataque. El factor decisivo es la lista de control de acceso de proxy prxyinfo, menos conocida, que permanece abierta en varias configuraciones estándar. El fallo permite además el movimiento lateral hacia todos los demás servidores de aplicaciones del sistema afectado. Tras instalar el parche, los clientes deben configurar además manualmente un parámetro de perfil, señala Onapsis.
En su análisis completo, Onapsis contabiliza cuatro notas con una puntuación CVSS de 10.0. Además de las notas sobre ICM, Web Dispatcher y Gateway, se incluye una comprobación de autenticación ausente en el proveedor de servicios SAML2 de SAP NetWeaver AS ABAP, que podría permitir a atacantes no autenticados hacerse pasar por usuarios arbitrarios.
Más allá de los dos fallos principales, la lista de HotNews contiene varias entradas críticas más. Cuatro notas tienen una puntuación CVSS de 9.9, entre ellas una comprobación de autorización ausente en S4CRM, una inyección de comandos del sistema operativo en el servidor de aplicaciones ABAP y una inyección de código en SAP NetWeaver Knowledge Management (XML Forms) que Onapsis descubrió junto con XBOW. Dos HotNews afectan a la SAP Business AI Platform: una corrupción de memoria en el decodificador Brotli de Node.js y la llamada cadena php2shell, dos vulnerabilidades de ejecución remota de código en PHP que pueden combinarse en un mismo ataque; ambas tienen un CVSS de 9.8. Otras notas abordan la falsificación de solicitudes entre sitios en el Web Dispatcher y el ICM (CVSS 9.6) y una vulnerabilidad de entidades externas XML en SAP BusinessObjects (CVSS 9.1).
Las notas de alta prioridad están dominadas por corrupciones de memoria y fallos de denegación de servicio en componentes como el Message Server, el Internet Graphics Service y el Web Dispatcher; varios de ellos pueden bloquear procesos sin autenticación. Una nota corrige una comprobación de autenticación ausente en la aplicación EDM de SAP NetWeaver AS Java eliminando la aplicación de los sistemas de los clientes durante las actualizaciones con SUM; SAP también la ha retirado de SAP Marketplace. Otras ocho notas de menor gravedad, entre ellas de cross-site scripting y de falsificación de solicitudes del lado del servidor, completan la aportación del laboratorio.
Según los conocimientos actuales de Onapsis, no hay indicios de explotación activa. Onapsis y SAP recomiendan, no obstante, instalar cuanto antes los parches disponibles. La empresa afirma que ya está actualizando su plataforma para cubrir las vulnerabilidades recién publicadas. Según la empresa, los clientes de su solución Onapsis Defend estaban protegidos frente a su explotación antes de la publicación de los parches.
Para los equipos de SAP, el volumen supone una semana exigente, y los dos fallos con la puntuación máxima son el punto de partida evidente, ya que ambos permiten la ejecución de comandos sin autenticación. Onapsis Research Labs analiza las vulnerabilidades hoy, 12 de noviembre, a las 16:00 h CET (10:00 h EST) en un briefing de amenazas titulado «Navigating November’s Historic SAP Security Patch Day».
El Dr. Jakob Jung es redactor jefe de Security Storage y Channel Germany. Lleva más de 20 años trabajando en el periodismo especializado en TI. A lo largo de su carrera ha colaborado con Computer Reseller News, Heise Resale, Informationweek, Techtarget (almacenamiento y centros de datos) y ChannelBiz. Además, colabora como freelance con numerosas publicaciones del sector de las TI, entre las que se incluyen Computerwoche, Channelpartner, IT-Business, Storage-Insider y ZDnet. Sus temas principales son el canal, el almacenamiento, la seguridad, los centros de datos, los sistemas ERP y CRM.
Contacto – Contacto por correo electrónico: jakob.jung@security-storage-und-channel-germany.de