Alertes de sécurité SAP : multiples vulnérabilités critiques à corriger

Contexte et risques identifiés

Le Centre d'expertise gouvernemental de réponse aux incidents de sécurité informatique (CERT-FR) a publié un avis signalant plusieurs vulnérabilités dans les solutions SAP, certaines classées comme critiques. Ces failles exposent les systèmes à des menaces majeures, notamment :

• Atteinte à la confidentialité des données sensibles ;
• Exécution de code arbitraire à distance ;
• Élévation de privilèges non autorisée ;
• Contournement des politiques de sécurité en place ;
• Injections de code indirectes (XSS) et injections SQL (SQLi).

Produits et versions concernés

Les vulnérabilités impactent un large éventail de produits SAP, dont les principales familles sont :

• ABAP Platform (versions SAP_BASIS 750 à 920, KRNL64UC 7.53 à 7.77) ;
• NetWeaver et ABAP Platform (versions KRNL64NUC, KERNEL, SAP_UI, etc.) ;
• BusinessObjects Business Intelligence Platform (versions ENTERPRISE, SAP_BASIS) ;
• Commerce Cloud (versions COM_CLOUD, DHUB_CLOUD) ;
• S/4 HANA (modules spécifiques comme Reprocess Bank Statement Items) ;
• Autres composants (AP FICA ODN, Manufacturing Integration and Intelligence, SAPUI5, etc.).

Les systèmes non corrigés avec les derniers correctifs de sécurité sont vulnérables.

Mesures recommandées

Pour atténuer les risques, le CERT-FR recommande aux organisations concernées de :

• Consulter sans délai le bulletin de sécurité SAP du mois d'août pour identifier les correctifs applicables ;
• Appliquer les mises à jour de sécurité disponibles pour chaque produit concerné ;
• Vérifier l'absence de versions obsolètes ou non supportées dans leur environnement ;
• Renforcer les contrôles d'accès et les audits de sécurité post-correction.

Références et suivi

Les entreprises doivent se référer au bulletin officiel SAP pour obtenir les correctifs et suivre les évolutions des CVE associées. Une gestion proactive des vulnérabilités est essentielle pour préserver l'intégrité des systèmes et la conformité aux exigences de sécurité.

Source : ANSSI / CERT-FR — Alertes & avis