[Fonte única] SAP corrige quatro falhas CVSS 10,0, duas com execução remota

A SAP corrigiu nesta terça-feira, 10 de novembro, quatro falhas de segurança avaliadas com 10,0, a nota máxima do CVSS, o sistema padrão que mede a gravidade de vulnerabilidades. Segundo o The Hacker News, todas as quatro podem ser exploradas por atacantes sem fazer login no sistema. Três estão no NetWeaver, o servidor de aplicações sobre o qual os sistemas SAP rodam, e uma no Web Dispatcher, o componente que recebe requisições web da internet e as repassa para esse servidor.[1]SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Executionthehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

Duas das falhas permitiriam execução remota de código, ou seja, rodar comandos no servidor afetado, sem exigir senha e sem nenhuma interação do usuário. Outra das quatro permitiria que um atacante se autenticasse como qualquer usuário em certos sistemas com SAML habilitado, o padrão de login usado em ambientes corporativos.[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

As correções chegaram no Security Patch Day, o dia mensal de patches de segurança da SAP. O lote cobre quatro vulnerabilidades: três no servidor de aplicações NetWeaver e uma no Web Dispatcher. Todas receberam nota 10,0 do fornecedor e, segundo o relato, nenhuma exige credenciais para ser explorada.[1]SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Executionthehackernews.com · rssAbrir fonte originalVer na lista de fontes

Além das duas falhas de execução remota de código, o detalhe mais sensível é o problema de autenticação: em sistemas específicos com SAML configurado, um atacante poderia se passar por qualquer usuário, sem que a vítima precise clicar em algo ou aprovar qualquer ação.[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

Três fatores explicam a gravidade máxima: as falhas podem ser exploradas sem autenticação, não exigem interação do usuário e uma delas afeta o Web Dispatcher, peça posicionada para receber tráfego web diretamente da internet antes de repassá-lo ao servidor de aplicações.[1]SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Executionthehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

Na prática, execução remota de código sem senha em um componente exposto à internet é o tipo de falha que costuma virar rota de invasão, roubo de dados ou ransomware em ambientes corporativos. É por isso que um lote com quatro notas 10,0 divulgadas de uma só vez chama atenção das equipes de segurança.[1]SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Executionthehackernews.com · rssAbrir fonte originalVer na lista de fontes

Administradores de sistemas SAP devem aplicar as atualizações lançadas no Security Patch Day de novembro, que corrigem as quatro falhas descritas na divulgação, em todos os ambientes onde NetWeaver e Web Dispatcher estão instalados.[1]SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Executionthehackernews.com · rssAbrir fonte originalVer na lista de fontes

Se não for possível atualizar tudo de uma vez, a ordem mais defensável é começar pelos Web Dispatchers acessíveis pela internet e pelos servidores NetWeaver que atendem requisições externas, justamente os alvos naturais de tentativas de exploração sem autenticação.[1]SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Executionthehackernews.com · rssAbrir fonte originalVer na lista de fontes

O que se sabe a partir da divulgação: quatro falhas corrigidas, todas com nota 10,0, exploráveis sem login e sem interação do usuário; três no NetWeaver e uma no Web Dispatcher; duas permitem execução remota de código e uma permite se passar por qualquer usuário via SAML em certos sistemas.[1]SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Executionthehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

O que ainda não se sabe: os identificadores CVE de cada falha, as versões exatas afetadas, os detalhes técnicos de exploração e, principalmente, se já houve tentativas ou exploração ativa na natureza. O texto disponível da matéria também é cortado antes de detalhar as falhas do Web Dispatcher.[1]SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Executionthehackernews.com · rssAbrir fonte originalVer na lista de fontes

A cobertura até agora vem do The Hacker News, que publicou o relato sobre o lote de correções. A própria publicação amplificou a informação no X com tom de alerta, destacando as quatro falhas de nota máxima, a execução remota de código sem autenticação e o risco de impersonação via SAML, sem relatar exploração em curso.[1]SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Executionthehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

A linha do tempo é curta: a matéria saiu por volta das 10h02 UTC desta terça-feira e, cerca de 17 minutos depois, por volta das 10h19 UTC, a conta do The Hacker News no X publicou o resumo em formato de alerta. No material disponível ainda não há notas independentes, detalhamento técnico adicional ou relatos de exploração que mudem o quadro.[1]SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Executionthehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

1 grupos independentes, 2 atualizações e 2 interações.

CVSS 10,0 é o topo da escala de 0 a 10 que classifica a gravidade de vulnerabilidades. Nota máxima costuma combinar explorabilidade plena, sem privilégios e sem interação do usuário, com impacto alto em confidencialidade, integridade e disponibilidade, e é esse o perfil descrito para as quatro falhas da SAP.[1]SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Executionthehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

Na arquitetura, o NetWeaver Application Server é a plataforma onde as aplicações SAP executam, e o Web Dispatcher funciona como a camada que recebe as requisições web da internet e as encaminha ao servidor de aplicações, papel semelhante ao de um proxy de entrada. A falha de SAML, por sua vez, permitiria autenticação como qualquer usuário nos sistemas afetados que tenham esse padrão habilitado.[1]SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Executionthehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

Esta notícia se apoia em dois itens: a matéria do The Hacker News, fonte primária da cobertura, e um post do mesmo veículo no X que resume os pontos principais. Ambos convergem nos mesmos fatos: quatro falhas, nota 10,0, componentes afetados, ausência de autenticação e nenhuma interação do usuário.[1]SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Executionthehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

Há limitações importantes: o texto da matéria disponível está truncado antes de detalhar as falhas do Web Dispatcher, o material não inclui acesso direto às notas de segurança da SAP e as notas de gravidade vêm do próprio fornecedor, sem verificação independente até o momento.[1]SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Executionthehackernews.com · rssAbrir fonte originalVer na lista de fontes