Recientemente, se han descubierto graves vulnerabilidades en los sistemas SAP en todo el mundo, lo que los deja expuestos al robo de datos empresariales, la interrupción de los procesos comerciales, el fraude y muchas otras formas de ataques. El equipo de investigación de ERP Security (ERP-SEC) fue quien descubrió estas vulnerabilidades y afirma que están relacionadas directamente con la funcionalidad de procesamiento de correo electrónico entrante de SAP.
Joris van de Vis, investigador de ERP-SEC, demostró estas vulnerabilidades en la conferencia anual de seguridad ‘Troopers Security Conference’, la cual cuenta con una sección especial dedicada a la seguridad de SAP. El equipo trabajó en estrecha colaboración con el equipo de respuesta de seguridad de productos de SAP para resolver y parchar estas vulnerabilidades. Como resultado, SAP lanzó la Nota de Seguridad 2308217 para mitigarlas.
Según el sitio web de SAP, la Nota de Seguridad 2308217 está específicamente diseñada para: “SAP Web-Survey tiene una vulnerabilidad de entidad externa XML (CVSS Base Score: 7.5). Un atacante puede utilizar esta vulnerabilidad para enviar solicitudes XML no autorizadas especialmente diseñadas que serán procesadas por el analizador XML. Un atacante puede utilizar esta vulnerabilidad de entidad externa XML para obtener acceso no autorizado al sistema de archivos del sistema operativo. Instala esta Nota de Seguridad de SAP para prevenir riesgos”.
Van de Vis afirma que no está claro el porcentaje de clientes afectados, pero aproximadamente el 50% utiliza capacidades de correo electrónico entrante en sus sistemas SAP. “El impacto de estas vulnerabilidades puede ser grave para los clientes de SAP que utilizan la funcionalidad de procesamiento de correo electrónico entrante, ya que puede ser explotada a través de Internet y sin autenticación. En algunos casos, incluso logramos tomar el control completo de los sistemas SAP enviando solo un correo electrónico con un archivo adjunto especialmente diseñado”, comenta van de Vis.
Es fundamental que las empresas que utilizan sistemas SAP estén al tanto de estas vulnerabilidades y tomen las medidas necesarias para proteger sus datos empresariales. SAP ha lanzado una solución para mitigar estos riesgos, por lo que es importante que los clientes actualicen sus sistemas y apliquen la Nota de Seguridad 2308217 lo antes posible.
La seguridad de los datos empresariales es una responsabilidad que no se puede tomar a la ligera. Mantenerse informado sobre las vulnerabilidades y tomar medidas proactivas para proteger los sistemas es esencial para evitar posibles ataques y pérdidas de datos.
