Vulnerabilidades en SAP Internet Graphics Service 6 y 7

Se han descubierto dos vulnerabilidades en SAP Internet Graphics
Service (versiones 6.40 y 7.00) que pueden ser explotadas por usuarios
maliciosos para acceder a información sensible, saltarse mecanismos de
seguridad, manipular datos o provocar denegaciones de servicio.

* Un error de validación de entradas puede ser explotado para borrar
cualquier archivo en el sistema utilizando una peticicón HTTP
maliciosa.
* Algunas características no documentadas sin especificar pueden ser
utilizadas para apagar el sistema, acceder a diversos archivos de
configuración o realizar ciertas acciones no autorizadas.

Se recomienda aplicar los parches oficiales (ver SAP Notes 959358 y
965201).

Laboratorio Hispasec
laboratorio@hispasec.com

Más información:

SAP Internet Graphics Service (IGS) Remote Arbitrary File Removal
http://www.cybsec.com/vuln/CYBSEC-Security_Pre-Advisory_SAP_IGS_Remote_Arbitrary_File_Removal.pdf