SAP NetWeaver ABAPに認証回避の脆弱性、修正ノート公開
SAP NetWeaver AS ABAPのSAML2連携に、認証なしで任意のユーザーになりすませる脆弱性が11月10日に公表されました。CVSSは10です。SAP_BASIS 702〜758を使う組織は、SAP Security Note 3849308を開き、SAML2の利用状況を洗い出してください。
急ぎ度: 至急
CVSS v3が10で、認証なしにネットワーク越しで特権アカウントになりすませるため、公表当日から修正ノートの確認と適用の段取りに入る必要があります。
関係があるか
ABAPベースのSAP製品（オンプレミスや自社管理のクラウド上のSAPシステム）のうち、SAML2のサービスプロバイダー機能を使う構成が対象です。CVE記録は「特定の構成のもとで」と書いており、SAML2でシングルサインオンを組んでいる組織はまず該当を疑ってください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| SAP NetWeaver AS ABAP and ABAP Platform（SAML2 Service Provider） | SAP_BASIS 702、731、740、750、751、752、753、754、755、756、757、758 | SAP Security Note 3849308で案内される修正。適用するサポートパッケージや補正の版は、SAP for Meのノートで確認してください。 |
確かめ方
- 1SAP GUIの「システム」メニューから「ステータス」を開き、コンポーネント情報でSAP_BASISのリリースを確認します。上の一覧に当たれば対象版です。
- 2SAML2の設定（トランザクションSAML2）を開き、サービスプロバイダーとして設定済みか、どの外部IdPと連携しているかを確認します。Basis担当者に聞くのが早い方法です。
- 3対象のシステムが、インターネットや取引先のネットワークから到達できる位置にあるかを、ネットワーク担当者と洗い出します。
- 4SAP for MeでSecurity Note 3849308を開き、「特定の構成」の具体的な条件と、自社の構成が当てはまるかを照らし合わせます。
何が起きたか
SAP NetWeaver AS ABAPとABAP Platformに、SAML2サービスプロバイダー機能の認証検証が不十分な脆弱性が見つかりました。悪用されると、認証を回避して管理者権限を含む任意のユーザーになりすまされ、システム全体が侵害されるおそれがあります。
SAPは月例のセキュリティパッチデーにあたる2026年11月10日に、この脆弱性を公表しました。CWEは、暗号による検証の不備を示すCWE-347です。外部から届く認証アサーション（本人確認の情報）を、受け取る側が十分に検証しないことが原因です。
影響は、このシステム単体にとどまらない可能性があります。CVE記録は、接続されたコンポーネントや、ほかのシステムにまで被害が及ぶことがあると書いています。機密性・完全性・可用性のすべてで影響が大きいと評価されています。
攻撃の流れ
-
1
細工データ送信
攻撃者が、SAML2の認証を受け付ける窓口へ、細工したデータをネットワーク越しに送ります。
-
2
検証をすり抜け
受け取る側の検証が不十分なため、本人確認のデータが正当なものとして扱われます。
-
3
なりすまし成立
認証を通らないまま、特権アカウントを含む任意のユーザーとして振る舞えます。
-
4
全体侵害と波及
システム全体が侵害され、接続先のコンポーネントやシステムにも影響が広がるおそれがあります。
どう悪用されるか
攻撃に認証は要りません。ネットワーク越しに到達でき、利用者の操作も要らず、攻撃の難易度は低いと評価されています（CVSSのベクターはAV:N/AC:L/PR:N/UI:N）。ただしCVE記録は、悪用できるのは特定の構成のもとに限ると書いています。
悪用されると、管理者などの特権アカウントになりすまされます。業務データの閲覧、書き換え、サービス停止まで可能になり、機密性・完全性・可用性のすべてに高い影響が出ます。スコープが変わる評価のため、このシステムにつながった別のシステムにも被害が及ぶおそれがあります。
今すぐやること
-
1
SAP Security Note 3849308を確認する
SAP for Meでノートを開き、対象のリリース、必要な修正の版、適用手順、回避策の有無を読みます。担当者が社内に1人でも手を動かせるよう、今日のうちに確認を始めてください。
-
2
対象のシステムを洗い出す
SAP_BASISのリリースと、SAML2サービスプロバイダーの設定状況を、開発・検証・本番のすべてで一覧にします。外部から到達できるシステムを最優先にします。
-
3
修正を検証環境で試し、本番に適用する
SAPはNetWeaver系の修正をサポートパッケージでも配布すると案内しています。次回のパッチデーは12月8日ですが、それまで待たず、検証を済ませ次第、本番に適用してください。
-
4
古いリリースの扱いを確認する
SAPの方針では、深刻度が高いノートの修正は、直近24か月に出荷されたサポートパッケージで、保守期間内の製品版が対象です。702や731など古い版を使っている場合は、その版に修正が提供されるかをノートで確認し、提供されなければサポートパッケージの更新を計画します。
-
5
ログインの履歴を点検する
適用の前後で、SAPのログイン記録や監査ログを見て、身に覚えのない特権ユーザーのログインや、通常と違う接続元からのログインがないかを調べます。
すぐ更新できないとき
SAPが示した回避策は、ノートを確認するまで分かりません。修正の適用が遅れる場合のつなぎとして、一般的な対策ですが、インターネットに公開しているシステムは、リバースプロキシやWAFで接続元を取引先や社内のIPアドレスに絞る方法があります。シングルサインオンの利用者に影響が出るため、事前に動作を確認してください。
背景
SAP NetWeaver AS ABAPは、SAP ERPやS/4HANAなどの基幹システムが動くアプリケーションサーバーです。会計・人事・購買・在庫といった、会社の中心となるデータが載ります。SAML2サービスプロバイダー機能は、社内のIdPなど外部の認証基盤で本人確認を済ませた利用者を、SAPに入れるために使われます。
SAMLの認証は、IdPが発行した本人確認の情報を、受け取る側が正しく検証して初めて成り立ちます。今回のCWE-347は、その検証の不備に当たります。検証が崩れると、SAPのパスワードを知らなくても任意のユーザーとして入れてしまうため、評価がCVSS 10まで上がっています。SAPの基幹システムは、ほかのSAP製品や外部システムとの連携が多く、被害が接続先に及ぶとされた点も、この脆弱性の重みを増しています。
よくある質問
Q.SAML2のシングルサインオンを使っていなければ、影響はありませんか。
Q.Support Package Security NoteとPatch Day Security Noteは、どう違いますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
SAP NetWeaver AS ABAP and ABAP Platform does not perform sufficient verification of incoming authentication assertions under certain configurations. An unauthenticated attacker could submit specially crafted data to bypass authentication and impersonate arbitrary users, including privileged accounts. Successful exploitation could cause a full system compromise, with the impact potentially extending to connected components and systems beyond the affected system. This results in a high impact on confidentiality, integrity, and availability of the application.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cna@sap.com
- web cna@sap.com
- web nvd.nist.gov
- web github.com