Data Services Management Console: proteger las consultas de datos

Publicado · Actualizado · Servicios conectados · 8 min de lectura · Por Cyber Intelligence Embassy

En resumen

Data Services Management Console: inyección SQL. El caso del 2026-08-11 examina 25 entradas de versiones y 42 CVE, versiones documentadas y controles para plataformas de ejecución, a partir de CERTFR-2026-AVI-0998.

Ilustración de IA: espacio tecnológico de ciberseguridad oscuro con iluminación dorada Ilustración · escena ficticia
En este artículo

Retrospectiva del 2026-08-11, elaborada el 27 de octubre de 2026. La fecha corresponde a la jornada analizada; abajo figuran las fechas de publicación y revisión de las fuentes.

Qué cambia este aviso en su entorno

El punto de partida es CERTFR-2026-AVI-0998, publicado el 2026-08-11. Su alcance incluye Data Services Management Console, Change and Transport System Attach Tool (ctsattach), Business AI Platform (Approuter), Commerce Cloud, ABAP Platform, NetWeaver AS Java (Adobe Document Services), NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard, SAPSPrint Service, Commerce Cloud (Bouncy Castle Java library), S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools), SAPUI5, AP FICA ODN framework. Las consecuencias indicadas son inyección de scripts XSS, ejecución remota de código, inyección SQL, impacto pendiente de aclaración por el proveedor, evasión de controles de seguridad, pérdida de confidencialidad, escalada de privilegios. Corresponden al alcance del aviso; no se atribuyen todas ellas a cada producto o CVE.

Este caso reúne 25 entradas de versiones; número de identificadores CVE: 42. Siga la corrección por componente: una actualización global satisfactoria no demuestra que Data Services Management Console y Social Intelligence recibieran su corrección respectiva.

Productos y versiones que revisar

Referencia
CERTFR-2026-AVI-0998
Primera publicación de la fuente
2026-08-11
Última revisión disponible para esta jornada
2026-08-11
Componentes citados
Data Services Management Console, Change and Transport System Attach Tool (ctsattach), Business AI Platform (Approuter), Commerce Cloud, ABAP Platform, NetWeaver AS Java (Adobe Document Services), NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard, SAPSPrint Service, Commerce Cloud (Bouncy Castle Java library), S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools), SAPUI5, AP FICA ODN framework, NetWeaver Application Server ABAP and ABAP Platform, BusinessObjects Business Intelligence, Commerce Cloud and Data Hub (Apache Log4j Core), S/4 HANA (Reprocess Bank Statement Items), Advanced Planning and Optimization (Model Mix Planning), Manufacturing Integration and Intelligence, Commerce Cloud (Data Hub Adapter), Commerce Cloud (Search and Navigation), ABAP Developer Tools, NetWeaver Application Server ABAP, BusinessObjects Business Intelligence Platform (Central Management Server), NetWeaver and ABAP Platform, Social Intelligence
Identificadores CVE
CVE-2026-33871, CVE-2026-66760, CVE-2026-58247, CVE-2026-40130, CVE-2026-66774, CVE-2026-58238, CVE-2026-66772, CVE-2026-44764, CVE-2026-58241, CVE-2026-58248, CVE-2026-66770, CVE-2025-58057, CVE-2025-42947, CVE-2026-58237, CVE-2026-5598, CVE-2026-66779, CVE-2026-34480, CVE-2026-66775, CVE-2026-58243, CVE-2026-66771, CVE-2026-58239, CVE-2026-66773, CVE-2026-44765, CVE-2026-58235 … (+18)
ComponenteCondición publicada
Change and Transport System Attach Tool (ctsattach)CTS_UPLOAD_CLT 1 falta la última actualización de seguridad
Business AI Platform (Approuter)<23.0.0 falta la última actualización de seguridad
NetWeaver AS Java (Adobe Document Services)ADSSAP 7.50 falta la última actualización de seguridad

Para Change and Transport System Attach Tool (ctsattach), la condición publicada es «CTS_UPLOAD_CLT 1 falta la última actualización de seguridad». Compare la versión realmente cargada con esa condición dentro de su propia rama. Corregir otra edición de Data Services Management Console no permite cerrar este caso.

Mecanismo y requisitos

La inyección SQL mezcla datos e instrucciones. Compruebe consultas parametrizadas, privilegios de la cuenta de base de datos y registros; no necesita una carga destructiva para confirmar exposición.

La ficha primaria CVE-2026-66763, publicada por sap, abarca SAP BusinessObjects Business Intelligence Platform (Central Management Server). La revisión retenida es del 2026-08-11. Su alcance se distingue de las integraciones y agrupaciones del aviso CERTFR-2026-AVI-0998.

La métrica publicada para CVE-2026-66763 es CVSS 3.1, 7.9/10. El vector describe requisitos técnicos; no mide frecuencia de ataques ni probabilidad de compromiso de su instalación.

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N

Vector de ataque
local
Privilegios previos
alto
Interacción del usuario
ninguno
Complejidad
bajo
Debilidad
CWE-321

Elegir la intervención adecuada

  1. Localice instancias de Change and Transport System Attach Tool (ctsattach), versiones activas y responsables. Registre la condición CTS_UPLOAD_CLT 1 falta la última actualización de seguridad junto con CERTFR-2026-AVI-0998.
  2. Compare la rama instalada con las notas del proveedor de Change and Transport System Attach Tool (ctsattach). Prepare el paquete de esa rama y una prueba del servicio dependiente, conservando el estado anterior.
  3. Después de modificar Change and Transport System Attach Tool (ctsattach), capture de nuevo la versión cargada y compruebe el recorrido indicado. Cada excepción necesita responsable, reducción de exposición y caducidad.

Verificar la corrección en un flujo real

Escenario de validación para adaptar a Data Services Management Console: Para Change and Transport System Attach Tool (ctsattach), registre la versión cargada por el proceso o núcleo activo y reinicie según las instrucciones de mantenimiento. Compruebe un flujo dependiente y busque copias integradas en imágenes o ejecutables distribuidos. Es una propuesta defensiva, no una afirmación de pruebas realizadas sobre sistemas de terceros.

Límite de CERTFR-2026-AVI-0998: este análisis no sustituye los requisitos del proveedor ni la investigación de sus registros. Solo se reproducen versiones documentadas; no se inventan fechas de ataques ni víctimas.

Preguntas específicas del caso

¿Qué condición debe comprobarse para Change and Transport System Attach Tool (ctsattach)?

CERTFR-2026-AVI-0998 indica: Change and Transport System Attach Tool (ctsattach) — CTS_UPLOAD_CLT 1 falta la última actualización de seguridad. Compruebe edición y versión activa; no extienda el límite a ramas ausentes del aviso.

¿Por qué no usar una sola corrección para Data Services Management Console y Social Intelligence?

CERTFR-2026-AVI-0998 distingue estos componentes dentro de 25 entradas. Relacione cada rama con su documentación de actualización y su propia prueba funcional.

¿Qué requisitos especifica la ficha CVE-2026-66763?

Para CVE-2026-66763, el vector publicado es CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N. Verifique esas condiciones en SAP BusinessObjects Business Intelligence Platform (Central Management Server) antes de aplicarlas a una integración mencionada en CERTFR-2026-AVI-0998.

Fuentes y lecturas relacionadas

Guía práctica : Priorizar vulnerabilidades y verificar su remediación

Profundizar en la decisión de este caso

Inventario completo del aviso original

La tabla del artículo puede ser un extracto. Estas listas contienen todas las entradas de sistemas afectados y CVE de la revisión indicada. No inventarían sus activos ni asignan cada CVE a cada producto.

Fuente oficial · CERTFR-2026-AVI-0998
Revisión del aviso : · Verificado el :

Sistemas afectados · 25

Se conserva el texto original francés para evitar traducciones ambiguas de las condiciones de versión.

  1. Data Services Management Console versions SBOP_DS_MANAGEMENT_CONSOLE 4.3 et 2025 sans le dernier correctif de sécurité
  2. Change and Transport System Attach Tool (ctsattach) version CTS_UPLOAD_CLT 1 sans le dernier correctif de sécurité
  3. Business AI Platform (Approuter) version <23.0.0 sans le dernier correctif de sécurité
  4. Commerce Cloud versions COM_CLOUD 2211, 2211-JDK21, DHUB_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  5. ABAP Platform versions KRNL64UC 7.53, KERNEL 7.53, 7.54 et 7.77 sans le dernier correctif de sécurité
  6. NetWeaver AS Java (Adobe Document Services) version ADSSAP 7.50 sans le dernier correctif de sécurité
  7. NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard versions SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758 et SAP_BASIS 816 sans le dernier correctif de sécurité
  8. SAPSPrint Service versions SAPSPRINT 8.00 et 8.10 sans le dernier correctif de sécurité
  9. Commerce Cloud (Bouncy Castle Java library) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  10. S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools) versions S4CORE 104, 105, 106, 107, 108, 109, ENTERPRISE 430 et 2025 sans le dernier correctif de sécurité
  11. SAPUI5 versions SAP_UI 750, 754, 755, 756, 757, 758, 816 et UI_700 200 sans le dernier correctif de sécurité
  12. AP FICA ODN framework versions SAPSCORE 132, S4CORE 102, 103, 104, 105, 106, 107, 108, FI-CA 606, 616, 617 et 618 sans le dernier correctif de sécurité
  13. NetWeaver Application Server ABAP and ABAP Platform versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, KERNEL 7.22, 7.53, 7.54, 7.77, 7.93 et 9.16 sans le dernier correctif de sécurité
  14. BusinessObjects Business Intelligence versions ENTERPRISE 430, 2025, 2027, ENTERPRISECLIENTTOOLS 430, 2025 et 2027 sans le dernier correctif de sécurité
  15. Commerce Cloud and Data Hub (Apache Log4j Core) versions COM_CLOUD 2211, 2211-JDK21 et DHUB_CLOUD 2211 sans le dernier correctif de sécurité
  16. S/4 HANA (Reprocess Bank Statement Items) versions S4CORE 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
  17. Advanced Planning and Optimization (Model Mix Planning) versions SCMAPO 713, 714, S4CORE 102, 103, 104, S4COREOP 104, 105, 106, 107, 108, 109, SCM 700, 701, 702 et 712 sans le dernier correctif de sécurité
  18. Manufacturing Integration and Intelligence versions XMII 15.4, 15.5, MII_ADMIN 15.4 et 15.5 sans le dernier correctif de sécurité
  19. Commerce Cloud (Data Hub Adapter) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  20. Commerce Cloud (Search and Navigation) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  21. ABAP Developer Tools versions SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918 et SAP_BASIS 920 sans le dernier correctif de sécurité
  22. NetWeaver Application Server ABAP versions SAP_UI 754, 755, 756, 757, 758, 816, EP-FLP 7.50, SAP_BASIS 731 et AJAX-RUNTIME 7.50 sans le dernier correctif de sécurité
  23. BusinessObjects Business Intelligence Platform (Central Management Server) versions SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918, SAP_BASIS 920, ENTERPRISE 430, 2025 et 2027 sans le dernier correctif de sécurité
  24. NetWeaver and ABAP Platform versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.22EXT2, 7.22EXT3, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16 9.18, 9.19, KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18 et 9.19 sans le dernier correctif de sécurité
  25. Social Intelligence versions S4FND 102, 103, 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
Identificadores CVE · 42