SAP NetWeaver ABAPのOSコマンド実行脆弱性、修正あり
SAP NetWeaver ABAPのカーネルに、低権限のユーザーがOSコマンドを実行できる脆弱性が公表されました（CVSS v3は9.9）。ABAPを運用する組織はカーネルの版を確認し、SAP Note 3792735を適用してください。
急ぎ度: 早めに
CVSS v3が9.9で基幹システムのホストOSの操作に至る一方、修正を案内するSAP Note 3792735があり、実際の悪用の確認は示されていないため、今月のうちの適用を勧めます。
関係があるか
SAP NetWeaver Application Server ABAPまたはABAP Platformを自社で運用し、下表のカーネル版を使っている組織が対象です。基幹業務をABAPで動かしている会社は、まず自社の版を確認してください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| SAP NetWeaver Application Server ABAP / ABAP Platform（カーネル） | KRNL64NUC 7.22、7.22EXT、KRNL64UC 7.22、KERNEL 7.22、7.53、7.54、7.77、7.93、9.16 | 修正はSAP Note 3792735で案内されています。修正を含むカーネルやサポートパッケージの版は、このノートで確認してください。 |
確かめ方
- 1SAP GUIで「システム」メニューの「ステータス」を開き、カーネルのリリースとパッチレベルを確認します。
- 2複数のアプリケーションサーバーがある構成では、トランザクションSM51でサーバーごとのカーネル版を見比べます。サーバー間で版が違うことがあるためです。
- 3上記の版に当てはまる場合は、SAP for MeでSAP Note 3792735を開き、自社の版が修正の対象かを確認します。
何が起きたか
SAP NetWeaver Application Server ABAPとABAP Platformに、権限の確認が足りない内部機能があります。この機能を呼び出されると、SAPが動いているホストのOSでコマンドが実行されます。
CVE-2026-76965として2026年11月10日に公表されました。同日はSAPが毎月第2火曜に出すセキュリティパッチの公開日にあたります。CVSS v3は9.9、深刻度はcriticalで、CWEはCWE-749です。
影響は脆弱なコンポーネントの中にとどまらず、機密性・完全性・可用性のすべてに高い影響が出るとされています。
攻撃の流れ
-
1
低権限で接続
攻撃者がネットワーク越しに、低い権限のアカウントでABAPシステムに到達します。
-
2
内部機能を呼ぶ
権限の確認が足りない内部機能を呼び出します。
-
3
OSコマンド実行
SAPが動くホストのOSで、任意のコマンドが実行されます。
-
4
影響が外へ広がる
機密性・完全性・可用性に高い影響が出て、被害が脆弱なコンポーネントの外にまで及びます。
どう悪用されるか
ネットワーク経由で攻撃でき、必要なのは低い権限のアカウントです。攻撃の複雑さは低く、利用者の操作も要りません。管理者権限は前提とされていません。
悪用に成功すると、ホストのOS上で任意のコマンドを実行されます。システムの機密性・完全性・可用性に高い影響が出るうえ、被害が脆弱なコンポーネントの外に及ぶ可能性があります。
今すぐやること
-
1
カーネルの版を洗い出す
本番・検証・開発のすべてのABAP環境で、カーネルのリリースとパッチレベルを確認します。当てはまる版が見つかった環境から優先順位をつけます。
-
2
SAP Note 3792735を確認して修正を適用する
SAP for Meでノートを開き、修正を含むカーネルまたはサポートパッケージの版を確認します。検証環境で動作を見たうえで、本番に適用します。
-
3
低権限アカウントを棚卸しする
この脆弱性は低い権限があれば足ります。使われていないユーザー、共有アカウント、外部委託先に渡したアカウントを整理し、不要なものは停止または削除します。適用までの時間を縮める効果もあります。
-
4
適用後に不審な形跡がないか見る
公表直後で悪用の確認は示されていませんが、SAPホストでの想定外のコマンド実行や、普段使わないアカウントからのアクセスがないかを、OSとSAPのログで確かめます。
すぐ更新できないとき
公式の回避策は、SAP Note 3792735で確認してください。修正を当てるまでのつなぎとして、SAPシステムへ接続できるネットワークを業務に必要な範囲に絞り、低権限アカウントの棚卸しと、ホスト上の不審なコマンド実行の監視を強めてください。いずれも修正の代わりにはなりません。
背景
SAP NetWeaver Application Server ABAPは、会計・購買・在庫・人事といった基幹業務のデータとプログラムを動かす土台です。ABAP Platformもその系統で、業務の止まりやすさと扱うデータの重さから、SAPのホストのOSは社内で最も守りたい場所の一つになっています。そのOSでコマンドを実行できてしまうと、アプリケーションの権限設計だけでは被害を抑えにくくなります。
今回の分類であるCWE-749は、本来守られるべき危険な機能が、呼び出せる状態で公開されている弱さを指します。影響する版がカーネル7.22から9.16まで幅広く、比較的古い版も含まれているため、長く更新していない環境ほど、修正を含む版への更新に手間がかかる可能性があります。
よくある質問
Q.自社の古いサポートパッケージでも修正は出ますか。
Q.次のセキュリティパッチデーはいつですか。
まだ分かっていないこと
- 対象となる内部機能の具体的な名前や範囲は、CVEの記録や公開された説明には書かれていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
SAP NetWeaver Application Server ABAP and ABAP Platform does not perform necessary authorization checks for certain internal functionality. An attacker with low privileges could invoke affected functionality to execute arbitrary operating system commands on the underlying host. Successful exploitation could impact resources beyond the vulnerable component, resulting in a high impact on confidentiality, integrity and availability of the system.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cna@sap.com
- web cna@sap.com
- web nvd.nist.gov
- web github.com