Inprosec a través de sus servicios, como el SAP Security Assessment, ayuda a sus clientes a mejorar los niveles de seguridad de sus sistemas SAP.
Notas Octubre 2023
Resumen y highlights del Mes
El número total de notas/parches ha sido de 9, 9 menos que el mes pasado. El número de Hot News ha sido de 1, 4 menos que el mes pasado. Por otro lado, cabe destacar que el número de notas de criticidad alta disminuye, pasando 2 a 0. Como siempre dejaremos las notas medias y bajas sin revisar en este mes, pero daremos detalle de un total de 1 nota (todas las que tengan un CVSS de 7 o mayor).
Tenemos un total de 9 notas para todo el mes (las 9 del patch Tuesday, 7 nuevas y 2 actualizaciones, son 9 notas menos que el pasado patch Tuesday).
Revisaremos en detalle la HotNews de este mes, que se trata de una actualización (aquellas de CVSS mayor o igual a 7).
- La nota más crítica del mes (con CVSS 10) es una actualización de la nota habitual relacionada con “Google Chromium”.
- Este mes el tipo más predominante es “Log Injection vulnerability” (2/9 en patch day).
En la gráfica (post octubre 2023 de SAP) podemos ver la clasificación de las notas de octubre, además de la evolución y clasificación de los últimos 5 meses anteriores (solo las notas del Sec. Tuesday / Patch Day – by SAP):
Detalle completo
El detalle completo de las notas más relevantes es el siguiente (en inglés):
- Update – Security updates for the browser control Google Chromium delivered with SAP Business Client (2622660): This security note addresses multiple vulnerabilities in the 3rd party web browser control Chromium, which can be used within SAP Business Client. This note will be modified periodically based on web browser updates by the open-source project Chromium. The note priority is based on the highest CVSS score of all the vulnerabilities fixed in the latest browser release. If the SAP Business Client release is not updated to the latest patch level, displaying web pages in SAP Business Client via this open-source browser control might lead to different vulnerabilities like memory corruption, Information Disclosure and the like. The solution will be to update the SAP Business Client patch to the newest one, which contains the most current stable major release of the Chromium browser control, which passed the SAP internal quality measurements of SAP Business Client. The note has been re-released with updated ‘Solution’ and ‘Support Packages & Patches’ information. CVSS v3 Base Score: 10 / 10 (Multiple CVE´s).
Enlaces de referencia
Referencias, en inglés de SAP y Onapsis (octubre):
SAP Security Patch Day for October 2023 | Onapsis
Recursos afectados
El listado completo de los sistemas/componentes afectados es el siguiente:
- SAP Business Client, Versions -6.5, 7.0, 7.70