脆弱性
SAP製品群において、CVSSスコア9.1から10.0に達する4件の重大な脆弱性が公表されている。最も深刻なSAP Cloud SDK for PythonのOAuth2 Server Side Request Forgery（SSRF）脆弱性では、攻撃者がtenant_subdomainパラメータを操作してトークンリクエストを不正なサーバーへ転送させ、クライアント認証情報を窃取することが可能である。その他、S/4HANAにおける任意のABAPコード実行、Visual ComposerやManufacturing Integration and Intelligenceにおける不十分な認可制御や権限昇格の問題など、システムの完全な乗っ取りや機密情報・完全性・可用性に深刻な影響を与える脆弱性が含まれている。
対象ソフト
SAPは企業の基幹業務を支えるERPをはじめとした統合ビジネスソフトウェア製品群であり、世界中の大企業や組織の財務、人事、サプライチェーンなどの管理において広く利用されている。
影響
攻撃が成功した場合、OAuth2クライアント認証情報の窃取、システム内における任意のABAPコードの実行、リモートシステムへの不正な内部操作の実行、および基盤となるJavaアプリケーションサーバーへの管理者権限を持つアカウントの不正作成などが発生し、結果として影響を受けるシステムの完全な制御権の掌握、ならびに機密性、完全性、可用性の重大な侵害につながるおそれがある。
