Alerta de Vulnerabilidade - SAP Kernel

Vulnerabilidade de cópia de buffer sem verificação da dimensão do input (CWE-120) no kernel do SAP, com o identificador CVE-2026-44756/EUVD-2026-72572 [1][2]. Um atacante remoto não autenticado pode executar comandos do sistema operativo no servidor, enviando um pedido com um cabeçalho Extended Passport (EPP) manipulado [3].

O EPP é a estrutura de tracing do SAP, criada na abertura de cada sessão e enviada pelo cliente ao servidor. É processada no início da ligação, antes da autenticação, pelo que os bloqueios de utilizador, roles, objetos de autorização e políticas de logon não impedem a exploração [3].

Sendo código partilhado do kernel, a vulnerabilidade é alcançável por três vias, nenhuma exigindo credenciais [3]:

• Camada web, através do Internet Communication Manager (ICM) e do Web Dispatcher
• Camada SAP GUI, através do SAP Dispatcher
• Camada RFC, na negociação de ligações entre sistemas SAP

São afetados os seguintes componentes do kernel [2]:

• KERNEL 7.22, KRNL64NUC 7.22, KRNL64UC 7.22 e 7.22EXT
• 7.53, 7.54, 7.77, 7.89 e 7.93
• 8.04
• 9.16, 9.18, 9.19 e 9.20
• WEBDISP 9.16

Todo o software assente neste kernel herda a vulnerabilidade, incluindo o SAP S/4HANA, o SAP ERP e o Business Suite (ECC), o SAP NetWeaver Application Server ABAP, o SAP Web Dispatcher, o SAP BW/4HANA, o SAP Enterprise Portal, o SAP PI/PO e o SAP Solution Manager [3].

Os comandos são executados com os privilégios da conta que detém a instalação SAP, o que equivale ao controlo do sistema. O atacante pode ler o secure store para obter credenciais da base de dados, acedar aos dados das sessões ativas, extrair credenciais para movimento lateral para outros sistemas SAP que confiam no sistema comprometido, e escrever nos dados aplicacionais, na configuração e nos binários do SAP [3].

Nenhum controlo de rede isolado mitiga o risco: um sistema protegido na camada web permanece alcançável pelas camadas SAP GUI e RFC. O SAP Dispatcher é habitualmente permitido através das firewalls e não pode ser fechado sem interromper os logons dos utilizadores, pelo que sistemas sem exposição à Internet permanecem expostos a partir da rede interna [3].

Recomenda-se a aplicação imediata da Security Note 3747649. Um único patch de kernel fecha todas as vias de exploração e é a única medida que mitiga integralmente a vulnerabilidade [1][3].

Medidas adicionais recomendadas:

• Inventariar todos os sistemas SAP, incluindo sistemas de desenvolvimento, teste e sandbox com cópias de dados de produção, e sistemas antigos que permaneçam ativos, registando a release e o patch level do kernel de cada um [3];
• Aplicar o patch primeiro aos sistemas com a camada web exposta à Internet e, em seguida, aos sistemas internos, que constituem a população mais numerosa e mais uniformemente exposta [3];
• Consultar a nota de FAQ 3776034 e a nota 3756304, que documenta workarounds para prevenir a exploração através de tráfego HTTP [3];
• Assegurar visibilidade sobre a camada aplicacional SAP para detetar tentativas de exploração durante o período de aplicação do patch [3].