Sistemas Afectados

• SAP NetWeaver
• SAP MII

Versiones

• SAP NetWeaver 7.10, 7.11, 7.20, 7.30, 7.31, 7.40, 7.50

Descripción

SAP MII permite a los usuarios crear paneles y guardarlos como JSP a través del SSCE (Self Service Composition Environment). Un atacante puede interceptar una solicitud al servidor, inyectar código JSP malicioso en la solicitud y reenviarla al servidor. Cuando este panel es abierto por usuarios que tienen al menos el rol SAP_XMII_Developer, se ejecuta contenido malicioso en el panel, lo que lleva a la ejecución remota de código en el servidor, lo que permite la escalada de privilegios.

Referencia

• CVE-2021-21480
• CVE-2021-21481

Solución

• Se recomienda instalar las actualizaciones de seguridad ofrecidas por SAP support.
• SAP Security Patch Day – March 2021