SAP corrige OVERPASS, una falla CVSS 10 que permite tomar control del sistema sin autenticación

SAP publicó 19 nuevas notas de seguridad y actualizó una nota anterior en su ciclo de septiembre. La prioridad máxima corresponde a CVE-2026-44756, denominada OVERPASS por Onapsis, una corrupción de memoria en el procesamiento de Extended Passport con puntuación CVSS 10,0.

El problema se activa al deserializar longitudes suministradas externamente dentro de la estructura EPP. Un atacante remoto y sin credenciales puede enviar una solicitud especialmente construida y ejecutar comandos del sistema operativo con la cuenta administrativa que opera la instalación SAP.

Extended Passport es utilizado para trazabilidad entre componentes y se procesa antes de que entren en juego controles como roles, bloqueos de usuario y políticas de inicio de sesión. La funcionalidad compartida puede alcanzarse desde la capa web, SAP GUI y conexiones RFC, por lo que cerrar un único puerto no elimina toda la superficie vulnerable.

La ejecución con la cuenta del sistema SAP equivale a comprometer datos y procesos empresariales: el atacante podría recuperar credenciales, leer sesiones, modificar configuraciones o binarios y afectar la disponibilidad. SAP y Onapsis no reportaron explotación activa al momento de la divulgación.

No existe un único control de red que sustituya la corrección porque EPP forma parte de rutas necesarias para la operación normal. Cada organización debe identificar las versiones desplegadas y obtener las notas correspondientes desde SAP for Me o el portal de soporte.