SAP BusinessObjectsにXXE脆弱性、修正を公開
SAP BusinessObjectsのWeb Intelligenceに、サーバー上のファイル読み取りや社内システムへの到達を許す脆弱性があります。ENTERPRISE 430・2025・2027の利用組織は、SAP Note 3799117で修正を確認し、早めに適用してください。
急ぎ度: 早めに
CVSS v3は9.1と高く修正も案内されていますが、実際の攻撃での悪用は示されていないため、至急ではなく早めの対応と見ています。
関係があるか
社内の帳票・分析基盤としてSAP BusinessObjects Business Intelligence PlatformのWeb Intelligenceを動かしている組織が対象です。業務部門のユーザーに広くアカウントを配っている環境ほど、影響を受けるアカウントの数が増えます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| SAP BusinessObjects Business Intelligence Platform (Web Intelligence) | ENTERPRISE 430、2025、2027 | SAP Note 3799117で案内される修正。適用するサポートパッケージやパッチの版は、自社の版ごとにSAPの告知で確認してください。 |
確かめ方
- 1BIプラットフォームの管理者に、Web Intelligenceを有効にしているかを聞く。部門で個別に立てた検証環境や旧環境も含めて洗い出す。
- 2管理コンソールやインストール情報で、製品の版とサポートパッケージのレベルを確認する。
- 3ENTERPRISE 430、2025、2027のいずれかに当たれば対象。SAP for MeでSAP Note 3799117を開き、自社の版に対応する修正を確認する。
何が起きたか
SAP BusinessObjects Business Intelligence PlatformのWeb Intelligenceに、XML外部エンティティ参照（XXE）の脆弱性があります。OLAP接続のリクエストを処理するとき、外部エンティティの解決を適切に制限していません。悪用されると、サーバー上の機密ファイルを読まれたり、外部には公開していない社内システムにサーバー経由で到達されたりします。
弱点の種類はCWE-611です。評価では機密性への影響が大きく、完全性と可用性への影響は小さいとされています。影響が脆弱なコンポーネントの外にまで及ぶ点も、評価を押し上げています。
SAPは2026年11月10日のSecurity Patch Dayで、この脆弱性のSecurity Noteを公表しました。
攻撃の流れ
-
1
認証済みで接続
Web Intelligenceに、有効なアカウントでアクセスします。
-
2
細工した要求
OLAP接続のリクエストに、外部のリソースを指すXMLの記述を含めて送ります。
-
3
外部参照を解決
サーバーが外部エンティティの解決を制限せず、指定された先を参照します。
-
4
情報へ到達
サーバー上の機密ファイルの読み取りや、社内システムへの到達につながります。
どう悪用されるか
攻撃にはWeb Intelligenceへの認証が必要ですが、権限は低いもので足ります。ネットワーク経由で仕掛けられ、複雑な条件はなく、利用者の操作も要りません。業務ユーザー向けにアカウントを広く発行している環境では、1つのアカウントが奪われただけでも成立します。
被害の中心は情報の漏えいです。サーバー上の設定ファイルなど機密性の高いファイルが読まれるおそれがあり、外部に公開していない社内システムの存在や応答も探られます。データの改ざんやサービスの停止といった影響は、評価上は小さいとされています。
今すぐやること
-
1
対象の版かを確認する
Web Intelligenceを動かしている環境を洗い出し、ENTERPRISE 430、2025、2027のどれに当たるかを管理者に確認してもらいます。
-
2
SAP Note 3799117を確認する
SAP for MeでNoteを開き、自社の版に対応する修正の内容と適用手順を確認します。このページでは修正の具体的な版は確認できていません。
-
3
サポートパッケージの古さを見る
SAPは高い深刻度の新しいNoteの修正を、直近24か月に提供したサポートパッケージと、メインストリームまたは延長保守にある版にだけ出す方針です。古いサポートパッケージを使っているなら、新しいサポートパッケージへの更新が先に必要になることがあります。
-
4
検証環境で確認して適用する
帳票やOLAP接続への影響を検証環境で確かめたうえで、本番に修正を適用します。月例のパッチ適用の枠を待たず、前倒しで組み込むのが現実的です。
-
5
ログを見直す
適用後に、Web Intelligenceへの不審なOLAP接続リクエストや、BIサーバーから社内の別システムへの想定外の通信がなかったかをログで確認します。
すぐ更新できないとき
修正を適用するまでのつなぎとして、Web Intelligenceに接続できる範囲を社内の必要な部門に絞ります。あわせて、使っていないアカウントや権限が広すぎるアカウントを整理し、BIサーバーから社内の他システムへの通信を必要なものだけに制限します。これらは被害を小さくするための一般的な措置で、修正の代わりにはなりません。SAPが回避策を案内しているかは、SAP Note 3799117で確認してください。
背景
SAP BusinessObjects Business Intelligence Platformは、社内の帳票、分析、ダッシュボードを担う基盤です。Web Intelligenceは、業務部門のユーザーが自分でデータを問い合わせてレポートを作る部分にあたります。さまざまなデータソースに接続するため、サーバーは社内ネットワークの奥にあるデータベースやOLAPサーバーの近くに置かれるのが普通です。
XXEは、XMLが持つ外部エンティティの機能を、入力を処理する側が制限しないときに起きる種類の脆弱性です。OWASPのTop 10では2017年版に独立した項目として入りました。今回の脆弱性が重く評価されたのは、読まれるのがBIサーバー自身のファイルにとどまらず、サーバーを踏み台に社内の別システムへ届く点です。さまざまな接続先をつなぐ製品だけに、被害の範囲が製品の外へ広がります。
よくある質問
Q.SAPのSecurity Noteは、いつ出るものですか。
Q.Web Intelligenceを使っていなければ、対応は不要ですか。
まだ分かっていないこと
- 実際の攻撃で悪用された事例は、公表の時点では示されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
SAP BusinessObjects Business Intelligence Platform (Web Intelligence) does not properly restrict external entity resolution when processing OLAP connection requests. An authenticated attacker could exploit this vulnerability to access restricted resources, enabling them to read sensitive files on the server and reach internal systems that are not otherwise exposed, impacting resources beyond the vulnerable component, resulting in a high impact on confidentiality and a low impact on both integrity and availability.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cna@sap.com
- web cna@sap.com
- web nvd.nist.gov
- web github.com