SAP corrige grave vulnerabilidad en NetWeaver ABAP con CVSS 9.9
Publicado el
SAP lanza parches para vulnerabilidades críticas
SAP ha implementado actualizaciones en julio de 2026 que abordan varias vulnerabilidades, entre ellas una grave en el servidor de aplicaciones NetWeaver ABAP. Esta falla, conocida como CVE-2026-44747, posee una puntuación de CVSS 9.9 y se trata de un error de escritura fuera de límites que permite a un atacante autenticado aprovechar errores lógicos en la gestión de memoria, lo que puede resultar en corrupción de memoria. Esto podría conducir a un acceso no autorizado a datos, su modificación o incluso la indisponibilidad del sistema.
SAP ha recomendado a los usuarios aplicar la actualización del ABAP Kernel, ya que una solución temporal implica deshabilitar todos los nodos ICF con una propiedad específica en la transacción SICF. Sin embargo, esta opción no es viable para todos los clientes, ya que desactivaría la apertura de transacciones en SAP GUI para HTML.
Además, SAP ha abordado otras dos vulnerabilidades críticas: CVE-2026-27690 y CVE-2026-44761, ambas con una puntuación CVSS de 9.1. La primera se refiere a un problema de smuggling en solicitudes/respuestas HTTP en implementaciones de SAP Approuter en entornos no Cloud Foundry. Esta vulnerabilidad permite a un atacante no autenticado enviar una solicitud HTTP especialmente diseñada, provocando una desincronización que puede exponer respuestas de usuario y facilitar ataques de denegación de servicio (DoS).
La segunda, CVE-2026-44761, implica el uso de credenciales predeterminadas en SAP Commerce Cloud. Esta falla podría permitir que un atacante no autenticado obtenga un token de acceso válido utilizando credenciales conocidas de una configuración de muestra proporcionada en la documentación de SAP Help Portal. La explotación de esta vulnerabilidad tendría un alto impacto en la confidencialidad e integridad de los datos, aunque no afectaría a la disponibilidad.
Onapsis, una empresa de seguridad que se especializa en SAP, ha destacado que la vulnerabilidad se origina en scripts de configuración de muestra que fueron previamente proporcionados en el portal de ayuda de SAP. Estos scripts estaban destinados para desarrollo y pruebas, configurando clientes OAuth 2.0 con credenciales de acceso codificadas. La documentación anterior no advertía explícitamente a los clientes sobre la importación de estas configuraciones predeterminadas en entornos de producción.
Los clientes que eliminaron el cliente de muestra o reemplazaron la contraseña por un valor fuerte y único no están afectados por este error. Se recomienda a los usuarios realizar auditorías en sus entornos de producción para identificar la presencia del cliente afectado de OAuth 2.0. Si este cliente existe, debe ser eliminado.
Aunque hasta el momento no se han registrado casos de explotación de estas vulnerabilidades en entornos reales, se aconseja aplicar las actualizaciones necesarias para garantizar una protección óptima.