SAP opravil v júni kritické zraniteľnosti v NetWeaveri a Commerce Cloud

Spoločnosť SAP vydala bezpečnostné aktualizácie systémov SAP NetWeaver a SAP Commerce Cloud, ktoré opravujú 15 zraniteľností, z čoho 4 sú označené ako kritické.

Zraniteľné systémy:

  • SAP NetWeaver AS ABAP a ABAP Platform vo verziách  SAP_BASIS 702, SAP_BASIS 731, SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918, SAP_BASIS 919, KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 722EXT, 7.53, KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 9.16, 9.18, 9.19
  • SAP Commerce Cloud a SAP Data Hub vo verziách HY_COM 2205, HY_DHUB 2205, COM_CLOUD 2211, 2211-JDK21, DHUB_CLOUD 2211
  • SAP NetWeaver Application Server Java (Web Container) vo verzii ENGINEAPI 7.50

Opis zraniteľnosti:

CVE-2026-44748 (CVSS skóre 9,9)

Kritická zraniteľnosť s označením CVE-2026-44748 sa nachádza v SAP NetWeaver Application Server ABAP a ABAP Platform. Vzdialenému autentifikovanému útočníkovi  s nízkymi oprávneniami umožňuje získať platnú podpísanú správu a zneužiť ju pri odoslaní upravených dokumentov XML overovateľovi. Po prijatí takto falošne podpísaných dokumentov môže získať neoprávnený prístup k citlivým používateľským údajom. To môže viesť k úplnému narušeniu dôvernosti, integrity a dostupnosti systému.

CVE-2026-27671 (CVSS skóre 9,8)

Kritická zraniteľnosť v SAP Kernel v produktoch SAP NetWeaver AS ABAP a ABAP Platform, ktorú spôsobuje nesprávna validácia RFC požiadaviek. Neautentifikovaný vzdialený útočník môže poslať špeciálne vytvorenú RFC požiadavku, ktorá vyvolá chybu v správe pamäte, resp. pretečenie vyrovnávacej pamäte na zásobníku. To môže viesť k úplnému narušeniu dôvernosti, integrity a dostupnosti systému.

CVE-2026-22732 (CVSS skóre 9,1)

Kritická zraniteľnosť v Spring Security Servlet pri prednastavenom zápise hlavičiek HTTP môže spôsobiť situáciu, že po definovaní hlavičiek HTTP odpovedí pre servlety sa tieto vôbec nezapíšu.

CVE-2026-40128 (CVSS skóre 9,0)

Kritická zraniteľnosť nachádzajúca sa v SAP NetWeaver Application Server Java (Web Container) umožňuje vzdialenému neautentifikovanému útočníkovi vytvoriť škodlivú HTTP požiadavku na prihlásenie, ktorá manipuluje s parametrami zahrnutia súborov. Tým môže dôjsť k prechádzaniu adresárov a následnému spracovaniu vloženého súboru. Spracovanie takéhoto súboru môže útočníkovi umožniť čítať alebo upravovať citlivé informácie, prípadne zneprístupniť ľubovoľnú časť lokálneho systému.

Ostatné zraniteľnosti vedú k úniku dát, obídeniu prístupových práv alebo narušeniu dostupnosti systémov.

Možné škody:

  • Neoprávnený prístup k citlivým údajom
  • Eskalácia privilégií
  • Úplné narušenie dôvernosti, integrity a dostupnosti systému
  • Vzdialené vykonanie kódu

Odporúčania:

Odporúčame bezodkladnú aktualizáciu zasiahnutých systémov na verzie špecifikované výrobcom.

Zdroje: