SAP NetWeaver AS ABAPに深刻な脆弱性、修正を公開
SAP NetWeaver AS ABAPのInternet Communication Managerに、認証なしでネットワーク経由のコード実行につながる脆弱性が公表されました。ABAP系のSAPシステムを運用する組織は、カーネルの版を確認し、SAP Note 3778530を見て修正を適用します。
急ぎ度: 至急
CVSS v3は最高値の10.0で、認証なしにネットワークから届き、SAP Note 3778530が公表初日から参照されています。
関係があるか
SAP NetWeaver AS ABAPを自社で運用している組織が対象です。特に、ICMが待ち受ける入口をインターネットや広い社内ネットワークに開けている環境は優先して見てください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| SAP NetWeaver AS ABAP (Internet Communication Manager) | KRNL64UC 7.53、KERNEL 7.53、7.54、7.77、7.93、9.16、9.18、9.20 | SAP Note 3778530で案内されています。修正済みのパッチレベルはこのNoteで確認してください。 |
確かめ方
- 1SAPのOSレベルで
disp+work -versionを実行するか、トランザクションSM51でカーネルの版とパッチレベルを確認し、上の版に当たるかを見ます。 - 2トランザクションSMICMで、ICMのサービス（HTTP・HTTPSなど）が有効か、どのポートで待ち受けているかを確認します。
- 3ファイアウォールやロードバランサーの設定から、そのポートへ届く通信の接続元を洗い出します。インターネットに公開されていないかを最初に見ます。
- 4SAP Note 3778530を開き、自社のカーネルが修正の対象かを確認します。保守期間を過ぎた版では修正が提供されないことがあります。
何が起きたか
SAP NetWeaver AS ABAPの通信を受け持つInternet Communication Managerに、ネットワークから届く特定の入力を十分に検証しない脆弱性が見つかりました。細工された通信を受けるとメモリが破壊され、攻撃者に任意のコードを実行される恐れがあります。システム全体が乗っ取られる可能性があります。
SAPが月例のセキュリティパッチデーに当たる2026年11月10日に公表しました。弱点の種類はCWE-1287で、重大度はCVSS v3で10.0です。
実際の攻撃での悪用が確認されたという情報は、現時点で見当たりません。ただ、公表と同時に細工の方向性が知られる脆弱性なので、筆者は、修正の適用を後回しにできる性質のものではないと見ています。
攻撃の流れ
-
1
通信を送る
攻撃者がICMに届くネットワーク経由で、細工した通信を送ります。
-
2
検証をすり抜ける
ICMの内部コンポーネントが、入力を十分に検証しないまま処理します。
-
3
メモリが破壊
処理の途中でメモリが壊れた状態になります。
-
4
コード実行
任意のコードが実行され、システム全体が侵害される恐れがあります。
どう悪用されるか
攻撃にログインは要りません。ネットワークから通信を送れる位置にいれば試すことができ、利用者に何かを開かせる操作も要りません。CVSSのベクターでは、攻撃の難しさは低く、影響が脆弱なコンポーネントの外にも及ぶ評価です。
悪用に成功すると、機密性・完全性・可用性のすべてに高い影響が出ます。SAPシステム上のデータの閲覧や書き換え、サービスの停止、システムの完全な乗っ取りが想定されます。
今すぐやること
-
1
対象のカーネルかを確認する
本番・検証・開発のすべてのABAPシステムについて、カーネルの版とパッチレベルを洗い出します。インターネットや外部の取引先から届くシステムを先頭にします。
disp+work -version -
2
SAP Note 3778530で修正内容を確認する
SAP for Meで開き、修正済みのパッチレベルと適用手順を確認します。NetWeaverベースの製品はサポートパッケージでも修正が届くため、自社の構成でどちらの方法になるかを見ます。
-
3
修正版を適用する
外部に近いシステムから修正版に更新します。カーネルの更新は再起動を伴うことが多いので、業務の止められる時間を押さえたうえで、検証環境での動作確認と並行して段取りします。
-
4
保守期間を確認し、必要なら移行を決める
SAPは、重大度が高い修正を、直近24か月に出たサポートパッケージで、かつ保守期間内の版にだけ提供する方針です。自社の版が対象外で修正が得られないときは、保守期間内の版への移行を計画し、移行までは下の回避策で入口を絞ります。
-
5
適用までの通信を見る
ICMのポートに届いた通信のログと、SAPサーバーの異常終了や再起動の履歴を見て、不審な動きがないかを確認します。見つかったときはインシデントとして扱ってください。
すぐ更新できないとき
修正版を当てるまでの措置として、ICMが待ち受けるポートへの接続元を、必要な社内ネットワークや取引先のアドレスに限定してください。インターネットに直接開けている場合は、先に閉じるか、信頼できる接続元だけに絞ります。SAPが回避策を公表しているかどうかは、SAP Note 3778530で確認してください。これは修正の代わりにはなりません。
背景
SAP NetWeaver AS ABAPは、ERPなどの業務アプリケーションが動く土台のアプリケーションサーバーです。ICMはその中で、HTTPやHTTPSといったネットワークからの要求を受け付ける入口にあたります。会計・購買・人事などの基幹データを預かるサーバーの入口が対象なので、侵害されたときの影響は業務全体に及びます。
ICMは過去にも標的になっています。2022年2月のパッチデーで修正された「ICMAD」と呼ばれる脆弱性群も、ICMが対象で、CVSS 10.0の評価を含んでいました。今回の脆弱性は、メモリ破壊から任意のコード実行につながる点が特徴です。
よくある質問
Q.次回のパッチデーまで待ってもよいですか。
Q.クラウドでSAPを使っている場合も自分で対応が必要ですか。
まだ分かっていないこと
- CVEの記録では、影響を受ける機能がICMの「内部コンポーネント」とだけ示されており、どの通信の種類が対象かは書かれていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
SAP NetWeaver Application Server ABAP does not sufficiently validate certain network input processed by an internal component. An unauthenticated attacker could send specially crafted network traffic to trigger a memory corruption condition in the affected functionality. Successful exploitation could allow the attacker to execute arbitrary code and fully compromise the system, resulting in a high impact on confidentiality, integrity and availability of the system.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cna@sap.com
- web cna@sap.com
- web nvd.nist.gov
- web github.com