CVE-2026-89121 Falta de control de autorización en SAP S/4HANA (Linear Asset Management RAP Business Object)

Qué es CVE-2026-89121

SAP S/4HANA no realiza controles de autorización suficientes a nivel de instancia para ciertas operaciones de modificación sobre datos de objetos de negocio asociados. Un atacante con bajos privilegios y acceso local al sistema podría eludir los controles y modificar datos de objetos para los que no está autorizado, con alto impacto en integridad y sin impacto en confidencialidad ni disponibilidad.

Productos y versiones afectadas

• SAP_SE SAP S/4HANA (Linear Asset Management RAP Business Object)

  • S4CORE 109

Qué hacer

1. Verificá si usás SAP S/4HANA (Linear Asset Management RAP Business Object) y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.7 MEDIA

CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

SAP S/4HANA does not perform sufficient instance-level authorization checks for certain modification operations on associated business object data. An attacker with low privileges and local access to the system could bypass authorization checks to modify data belonging to objects they are not authorized for. This results in a high impact on integrity. There is no impact on confidentiality and availability.

Referencias

• me.sap.com/notes/3799621
• url.sap/sapsecuritypatchday

Historial de la alerta

1. 12 OCT · 22:31VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.