Quatro falhas que poderiam ser exploradas sem autenticação foram corrigidas hoje no Dia de Correções de Segurança mensal da SAP. A empresa atribuiu a todas elas a pontuação máxima de 10,0 no CVSS.
Três falhas afetam o servidor de aplicações SAP NetWeaver, usado para executar sistemas SAP. A quarta está no SAP Web Dispatcher, que recebe solicitações da internet e as encaminha ao servidor.
Segundo a SAP, as falhas no Web Dispatcher e no Internet Communication Manager (ICM), responsável pelo tráfego web do servidor, poderiam permitir que um invasor com acesso de rede ao software executasse código.
A vulnerabilidade no provedor de serviços SAML 2.0 do servidor, que encaminha a autenticação dos usuários a um provedor de identidade, poderia permitir que um invasor se autenticassse como qualquer usuário em alguns sistemas que usam SSO com SAML.
Já a falha no SAP Gateway, que conecta o servidor a outros sistemas e programas SAP, poderia permitir que um invasor se passasse por um dos servidores de aplicações do próprio sistema e realizasse ações não autorizadas.
Nenhuma das quatro falhas exige interação do usuário para ser explorada.
Versões afetadas e notas da SAP
Segundo o boletim de segurança de novembro da SAP, cada falha foi corrigida em uma nota própria, e as versões afetadas variam de acordo com o componente. As notas estão disponíveis no SAP for Me, que exige autenticação. A empresa recomenda fortemente aplicar as correções com prioridade.
| CVE | Componente | Nota SAP | Versões afetadas |
|---|---|---|---|
|
CVE-2026-76964
| Internet Communication Manager (ICM), SAP NetWeaver AS ABAP | Nota 3778530 | KRNL64UC 7.53, KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20 |
|
CVE-2026-89126
| SAP Web Dispatcher | Nota 3778556 | HDB 2.00, KRNL64UC 7.53, WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16, XS_ADVANCED_RUNTIME 1.00, SAP_EXTENDED_APP_SERVICES 1, KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20 |
|
CVE-2026-89103
| SAP Gateway | Nota 3798345 | KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, 8.04, KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.20, 9.21 |
|
CVE-2026-120017
| Provedor de serviços SAML2, SAP NetWeaver AS ABAP e ABAP Platform | Nota 3849308 | SAP_BASIS 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 758, 816, 920, 921, 922 |
O que cada falha permite
Nas configurações SAML afetadas, a
CVE-2026-120017
poderia permitir que um invasor se autenticassse também como usuário privilegiado, segundo a SAP. Isso poderia levar ao comprometimento completo do sistema e, possivelmente, alcançar sistemas conectados.
Outra falha de SAML no mesmo software, a
CVE-2026-44748
, foi corrigida em 9 de junho e exigia que o invasor tivesse uma conta de usuário comum.
Nas vulnerabilidades do ICM (
CVE-2026-76964
) e do Web Dispatcher (
CVE-2026-89126
), tráfego de rede especialmente preparado poderia corromper a memória. Se o ataque fosse bem-sucedido, o invasor poderia executar código e comprometer completamente o sistema.
O SAP Gateway usa listas de controle de acesso para definir quais programas externos podem se conectar a ele e quais programas podem ser iniciados. Na
CVE-2026-89103
, o Gateway ativa uma lista padrão com privilégios elevados. Com isso, um invasor externo poderia ser tratado como um dos servidores de aplicações do próprio sistema e realizar ações não autorizadas no ambiente.
O que fazer
Em sua análise do pacote de correções, a RedRays recomenda atualizar o kernel e todos os Web Dispatchers em uma única implantação. A atualização deve incluir as 17 correções deste mês para o kernel e o Web Dispatcher.
As recomendações da empresa para cada falha são:
- **SAML2 (
CVE-2026-120017
):** em determinadas configurações, o provedor de serviços não verificava as assinaturas das declarações recebidas. Até que se confirme o contrário, considere afetado qualquer sistema AS ABAP que use SAML2 para autenticação pelo navegador, como o Fiori Launchpad ou a Web GUI conectada a um provedor de identidade. Não há solução alternativa: as únicas opções são aplicar a correção indicada na nota ou instalar o pacote de suporte listado. A análise da RedRays também recomenda revisar todos os provedores de identidade confiáveis na transação SAML2 e verificar os registros de auditoria em busca de autenticações SAML de usuários privilegiados provenientes de fontes inesperadas.
- **SAP Gateway (
CVE-2026-89103
):** quando os arquivos secinfo e reginfo não contêm regras explícitas ou dependem da palavra-chave internal host, o Gateway recorre a regras que permitem o acesso dos próprios servidores de aplicações do sistema. Um invasor que consiga se passar por um deles poderá alcançar os caminhos habituais de ataque do Gateway e tentar executar comandos. A nota não apresenta solução alternativa. Em kernels até a versão 7.77, a correção inclui o parâmetro de perfil gw/acl_mode_proxy, que restringe as regras padrão. Nas versões 7.93 em diante, o parâmetro já está disponível. A análise da RedRays recomenda ativá-lo após a aplicação da correção e verificar se gw/acl_mode está definido como 1, se secinfo e reginfo contêm regras explícitas e se a porta do Gateway (33xx) não pode ser acessada por redes de usuários ou pela internet.
- **ICM (
CVE-2026-76964
):** quadros de controle do WebSocket com campos de comprimento inválidos provocam uma gravação fora dos limites na memória heap antes de qualquer autenticação. O SAP NetWeaver AS Java não é afetado. A correção é distribuída por meio do dw.sar e do pacote de suporte do kernel. Segundo a análise da RedRays, se os usuários acessarem o ICM somente por um Web Dispatcher, atualizar esse componente para as versões indicadas na nota de perguntas frequentes 3778788 protege temporariamente o ICM. Isso só vale se ninguém puder acessar diretamente as portas do ICM. Desativar o suporte a WebSocket também bloqueia a falha como último recurso, mas interrompe recursos que dependem dele.
- **Web Dispatcher (
CVE-2026-89126
):** a falha tem a mesma causa que a vulnerabilidade do ICM. Afeta instâncias independentes e incorporadas do Web Dispatcher, inclusive as usadas no SAP HANA XS Classic e no XS Advanced, mas não o SAP Content Server. A análise da RedRays lista os caminhos de correção: SAPWEBDISP.SAR para instâncias independentes; dw.sar ou o pacote de suporte do kernel para instâncias incorporadas; revisão 089.05 do SPS08 ou revisão 079.11 do SPS07 para o HANA XS Classic; e versão 1.5.4 ou posterior para o XS Advanced. Desativar o suporte a WebSocket funciona até a aplicação da correção, mas a nota alerta que isso afeta os ABAP Push Channels e alguns recursos do Fiori. Antes de começar, localize todos os Web Dispatchers, pois uma única instância esquecida mantém a falha exposta.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...