Mises à jour de sécurité urgentes de SAP
SAP a annoncé le lancement de 42 notes de sécurité nouvelles et mises à jour, comprenant neuf vulnérabilités classées comme "critiques" (Critical), ce qui nécessite que les administrateurs système prennent des mesures immédiates pour sécuriser les environnements de travail. Ces mises à jour ciblent des composants essentiels des logiciels d'entreprise, notamment NetWeaver, Web Dispatcher et Gateway.
Vulnérabilités ICM2SHELL et ProxyGate
Parmi les vulnérabilités les plus graves se trouve la vulnérabilité ICM2SHELL (enregistrée sous CVE-2026-76964 et CVE-2026-89126), qui affecte le composant Internet Communication Manager (ICM) et Web Dispatcher. Cette vulnérabilité provient d'un défaut dans le traitement des messages WebSocket volumineux, où un attaquant peut envoyer une séquence de messages spécialement conçue entraînant un dépassement des limites de la mémoire allouée, permettant l'exécution de commandes du système d'exploitation avec les privilèges adm.
Quant à la vulnérabilité ProxyGate (enregistrée sous CVE-2026-89103), elle affecte SAP Gateway. Cette vulnérabilité permet à des attaquants non authentifiés de contourner les restrictions d'accès dans la liste prxyinfo, trompant ainsi le système pour lui faire croire que les requêtes proviennent d'un réseau interne de confiance, ce qui donne à l'attaquant un contrôle total sur le système SAP sans avoir besoin d'un nom d'utilisateur ou d'un mot de passe.
Pourquoi cette nouvelle est-elle importante ?
La gravité de ces vulnérabilités réside dans le fait qu'elles se situent au sein du noyau SAP (Kernel), ce qui signifie qu'elles affectent un large éventail de versions, y compris celles qui sont sorties de la période de support officiel. Étant donné que les vulnérabilités permettent l'exécution de commandes à distance (RCE) sans interaction de l'utilisateur, elles représentent une menace directe pour la continuité des activités et l'intégrité des données sensibles au sein des organisations qui dépendent des plateformes SAP.
Détails supplémentaires sur les mises à jour
En plus des vulnérabilités mentionnées, SAP a traité une vulnérabilité de perte d'authentification dans NetWeaver (CVE-2026-120017) qui pourrait permettre l'usurpation d'identité de n'importe quel utilisateur. Le pack de mises à jour comprenait également cinq autres vulnérabilités critiques dans divers composants tels que S4CRM et BusinessObjects, ainsi que 17 autres vulnérabilités classées comme "haut risque" liées à la corruption de la mémoire et au déni de service (DoS).
Il est conseillé aux responsables informatiques de consulter immédiatement les notes de sécurité publiées par SAP et d'appliquer les mises à jour disponibles, d'autant plus que les chercheurs en sécurité d'Onapsis ont confirmé l'existence d'exploitations pratiques de ces vulnérabilités.