top of page

A SAP corrige ICM2SHELL e ProxyGate

há 9 minutos
2 min de leitura

Recentemente, a SAP corrigiu quatro falhas com CVSS 10.0, todas exploráveis pela rede e sem autenticação. Duas delas, denominadas pela Onapsis ICM2SHELL e PROXYGATE, permitem execução remota de código no servidor SAP.

Segundo o SecurityWeek, o boletim trouxe dezenas de notas, com nove críticas. Até agora, não há notícia de exploração ativa e nenhuma das quatro consta do catálogo KEV da CISA (verificado em 10 nov 2026, segundo a Rescana). Ainda assim, a Onapsis entregou à SAP um exploit funcional do ICM2SHELL.

N

CVE

Componente

Nota SAP

Descrição

ICM2SHELL

CVE-2026-76964

ICM (Internet Communication Manager), AS ABAP

3778530

Frames de controlo WebSocket malformados, com campos de tamanho inválidos, causam escrita fora dos limites do heap antes da autenticação.

ICM2SHELL

CVE-2026-89126

SAP Web Dispatcher

3778556

Mesma falha no Web Dispatcher. Atinge também os Web Dispatchers do HANA XS Classic e XS Advanced, mas não o SAP Content Server.

PROXYGATE

CVE-2026-89103

SAP Gateway

3798345

A ACL por defeito, com privilégios elevados, permite que um atacante externo seja tratado como servidor de aplicações interno.

(sem nome)

CVE-2026-120017

Fornecedor de serviço SAML2, AS ABAP

3849308

Em certas configurações, as asserções SAML recebidas não têm a assinatura verificada, e o atacante entra como qualquer utilizador, incluindo administradores.



Todas têm CVSS 10.0, com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H segundo a Rescana. O impacto é negação de serviço ou execução remota de código como <sid>adm no ICM2SHELL e no PROXYGATE, e tomada total do sistema na CVE-2026-120017.


Correções

Componente

Como obter a correcção

Nota SAP

ICM

dw.sar ou SP Stack Kernel

3778530

Web Dispatcher standalone

SAPWEBDISP.SAR

3778556

Web Dispatcher embebido

dw.sar ou SP Stack Kernel

3778556

HANA XS Classic

SPS08 revisão 089.05 ou SPS07 revisão 079.11

3778556

HANA XS Advanced

versão 1.5.4 ou superior

3778556

Gateway

Kernel corrigido; acrescenta gw/acl_mode_proxy até ao 7.77

3798345

SAML2 (SAP_BASIS)

Support package ou correction instructions

3849308


Passo a passo para as mitigações

  1. Faça o inventário de versões de SAP_BASIS, kernel, Web Dispatcher e Gateway, incluindo todos os Web Dispatchers existentes.

  2. Atualize o kernel e todos os Web Dispatchers numa só janela. Um único rollout de kernel e Web Dispatcher deve cobrir as 17 correções deste mês para essas componentes.

  3. Para a CVE-2026-120017, aplique o support package ou as instruções de correção da nota 3849308. Não há workaround. Considere em âmbito qualquer sistema AS ABAP com login SAML2 no browser.

  4. Depois de aplicar a nota do Gateway, confirme que gw/acl_mode está a 1 e que secinfo e reginfo têm regras explícitas. Nos kernels até 7.77 a correcção acrescenta o parâmetro gw/acl_mode_proxy. O 7.93 e posteriores já o têm.

  5. Restrinja a porta do Gateway (33xx) aos sistemas que comunicam, de facto, com ele. Nunca a exponha a redes de utilizadores nem à internet.

  6. Guarde evidência das versões instaladas após o patch.


Caso não possa aplicar os patches de imediato:

  • WebSocket (ICM2SHELL): desativar o suporte a WebSocket bloqueia a falha, mas é um último recurso.

  • Web Dispatcher à frente do ICM: atualizar o Web Dispatcher para os níveis da nota FAQ 3778788 protege o ICM por agora, mas só se ninguém alcançar diretamente as portas do ICM

  • SAML2: reveja os fornecedores de identidade confiáveis na transação SAML2 e procure nos logs logins privilegiados vindos de origens inesperadas


Mais informações em:

Comentários

POSTS RECENTES:
PROCURE POR TAGS:
bottom of page