SAP NetWeaver KMC-CMに任意コード実行の脆弱性
SAP NetWeaver Knowledge Management（XML Forms）のKMC-CM 7.50で、任意のコードが実行されうる脆弱性が公表されました。CVSS v3は9.9です。利用中の企業はSAP Note 3809153で該当を確認し、修正を適用してください。
急ぎ度: 早めに
CVSS v3が9.9と最高水準に近く、SAPが11月のSecurity Patch Dayに合わせてSAP Noteを出しているため、次の定例作業を待たず早めに対応する段階です。
関係があるか
SAP NetWeaverのKnowledge Management（KMC-CM 7.50）を使い、XML Formsの機能を有効にしている企業が対象です。社内ポータルで文書管理やフォームを運用している環境が当てはまります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| SAP NetWeaver Knowledge Management (XML Forms) | KMC-CM 7.50 | SAP Note 3809153で案内される修正。対象のサポートパッケージの版は、SAP for Meで確認してください |
確かめ方
- 1SAP for MeでSAP Note 3809153を開き、対象コンポーネントと適用すべきサポートパッケージを確認します。
- 2自社のSAP NetWeaverにKMC-CMが導入されているか、バージョンが7.50かを、基盤の管理者に確認します。
- 3Knowledge ManagementのXML Formsを実際に使っているか、使っていればだれがアクセスできるかを洗い出します。
何が起きたか
SAP NetWeaver Knowledge ManagementのXML Formsの機能に、任意のコードを実行されてしまう脆弱性が見つかりました。この機能は処理するXSL変換の選択を十分に制限しておらず、本来許されないXSL変換を処理させられるおそれがあります。
SAPは2026年11月10日のSecurity Patch Dayに合わせて、この脆弱性に関するSAP Note 3809153を公開しました。CWEは、コードインジェクションを表すCWE-94です。
CVSS v3のベクターには、影響が脆弱なコンポーネントの外に及びうることを示すスコープの変更が含まれています。機密性・完全性・可用性のすべてが高い影響と評価され、スコアは9.9です。
攻撃の流れ
-
1
ログイン
対象機能にアクセスできる権限を持つ利用者として、システムにログインします。
-
2
XSL変換を指定
XML Formsの処理に、本来許されないXSL変換を選ばせます。
-
3
不正な変換を処理
制限が不十分なため、アプリケーションがそのXSL変換を処理してしまいます。
-
4
コード実行
アプリケーションの権限で任意のコードが動き、情報の漏えい・改ざん・停止につながります。
どう悪用されるか
悪用にはログインが必要です。対象機能にアクセスできる権限を持つ利用者が、ネットワーク経由で実行できます。CVSSの評価では攻撃の複雑さは低く、ほかの利用者の操作も要りません。CVEの記録は「特定の条件下で」と述べています。
成功すると、アプリケーションの権限で任意のコードが動きます。保存された文書や設定の読み取り、データの書き換え、サービスの停止が起こりえます。影響が脆弱なコンポーネントの外へ及ぶ評価のため、同じ基盤で動くほかの機能やデータも被害の範囲として想定してください。
一般の利用者アカウントでも足りるため、権限の弱いアカウントが乗っ取られた場合や、内部の利用者による不正があった場合も被害は大きくなりえます。
今すぐやること
-
1
SAP Note 3809153で該当を判断する
SAP for MeでNoteを開き、対象コンポーネントと、適用すべきサポートパッケージや修正の内容を確認します。KMC-CM 7.50を使っていなければ、この脆弱性の対象外です。
-
2
修正を検証環境で試し、本番へ適用する
Noteの案内に従って修正を適用します。Knowledge Managementを使う業務への影響を、先に検証環境で見ておくと安全です。
-
3
アクセスできる利用者を棚卸しする
XML Formsの機能に触れられるアカウントを洗い出し、不要な権限を外します。退職者や使われていないアカウントも対象です。
-
4
適用前後のログを確認する
公表の直後から適用までの間に、Knowledge Managementで不審な操作や想定外のエラー、見覚えのない設定変更がなかったかをログで調べます。
すぐ更新できないとき
SAPが案内する回避策の有無は、SAP Note 3809153で確認してください。修正をすぐに当てられないときのつなぎとして、XML Formsの機能にアクセスできるアカウントを必要最小限に絞り、外部ネットワークからKnowledge Managementへ到達できる経路を制限する方法があります。これはSAPが示した対策ではなく、修正までの被害を抑える一般的な措置です。
背景
Knowledge Managementは、SAP NetWeaver上で社内の文書やコンテンツを管理する機能で、KMC-CMはそのコンテンツ管理のコンポーネントです。XML Formsは、その上でフォームをXMLとして扱う仕組みです。今回はそこで、どのXSL変換を処理するかの選択が十分に制限されていませんでした。
SAP NetWeaverのJava系コンポーネントでは、2025年にVisual Composerの脆弱性が実際の攻撃で悪用されたことがありました。別のコンポーネントの話ですが、業務データを抱えたSAP基盤が攻撃の対象になることを示した例です。
よくある質問
Q.導入しているサポートパッケージが古い場合も、修正は出ますか。
Q.次のSecurity Patch Dayはいつですか。
まだ分かっていないこと
- CVEの記録は「特定の条件下で」悪用できるとしていますが、その条件の具体的な内容は書かれていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
SAP NetWeaver Knowledge Management (XML Forms) does not sufficiently restrict the selection of XSL transformations processed by the affected functionality. Under certain conditions, an authenticated user with access to the affected functionality could cause an unauthorized XSL transformation to be processed, potentially leading to arbitrary code execution in the application context. Successful exploitation could impact the confidentiality, integrity, and availability of the application.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cna@sap.com
- web cna@sap.com
- web nvd.nist.gov
- web github.com