SAP Gatewayに認証不要の脆弱性、修正Noteが公開
SAP Gatewayの既定のアクセス制御の設定により、認証されていない外部の攻撃者が内部のアプリケーションサーバーとして扱われる脆弱性です。SAPのカーネルを運用する企業は、SAP Note 3798345で自社の版が対象かを確認し、修正を適用してください。
急ぎ度: 至急
CVSS v3は満点の10で、認証なしにネットワークから悪用でき、SAPが公表した本日11月10日に修正のSAP Noteも出ているためです。
関係があるか
SAPのカーネルを使い、SAP Gatewayを動かしているSAPシステムが対象です。Gatewayにネットワークで届く環境ほど、影響を受けやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| SAP Gateway（SAPカーネル） | KRNL64NUC 7.22、7.22EXT、KRNL64UC 7.22、7.53、8.04、KERNEL 7.22、7.54、7.77、7.93、9.16、9.20、9.21 | SAP Note 3798345で提供される修正。適用する版や更新の内容はこのNoteで確認してください |
確かめ方
- 1SAPシステムのホストで
disp+work -versionを実行し、カーネルの種別と版を確認する。 - 2SAPのGUIでは、システムのステータス画面にカーネルのリリースが出る。
- 3確認した版を上の対象と照らし合わせる。1つでも当たれば、SAP for MeでSAP Note 3798345を開き、自社の環境が対象かを確認する。
- 4Gatewayに届くネットワークの範囲を、ファイアウォールの設定やネットワーク図で確認する。
何が起きたか
SAP Gatewayの既定のアクセス制御リストが高い権限で有効になっており、外部の攻撃者を内部のアプリケーションサーバーとして扱ってしまいます。そのためSAPシステムの中で、許可されていない操作を実行される可能性があります。
SAPは2026年11月10日のSecurity Patch Dayに、SAP Note 3798345としてこの脆弱性を公表しました。弱点の種類はCWE-863で、権限の確認が正しく行われないものです。深刻度はCVSS v3で10、影響は機密性・完全性・可用性のいずれも高とされています。
攻撃の流れ
-
1
Gatewayに到達
外部の攻撃者が、ネットワーク経由でSAP Gatewayに接続できる状態になります。
-
2
内部と誤認
既定のアクセス制御リストのせいで、攻撃者が内部のアプリケーションサーバーとして扱われます。
-
3
不正な操作
許可されていない操作が、SAPシステムの中で実行される可能性があります。
-
4
情報・稼働に影響
情報の漏えいや改ざん、システムの停止につながるおそれがあります。
どう悪用されるか
ログインは要りません。利用者の操作も不要で、SAP Gatewayにネットワークで届けば、遠隔から試みられます。攻撃の難易度は低いと評価されています。
悪用されると、機密性・完全性・可用性のすべてに高い影響が出る可能性があります。CVSSのスコープも変更ありとされており、Gatewayの外のシステムにまで影響が及ぶ場合があります。
今すぐやること
-
1
対象の版かを確認する
運用中のSAPシステムごとにカーネルの種別と版を確認し、対象の一覧と照らし合わせます。複数のシステムを持つ場合は、本番環境から先に調べます。
disp+work -version -
2
SAP Note 3798345を確認して適用する
SAP for MeでSecurity Notesを開き、Note 3798345に書かれた修正を、検証環境で試してから本番に適用します。SAPはSecurity Patch Dayの修正を優先して適用するよう案内しています。
-
3
Gatewayに届く範囲を絞る
インターネット側や、業務に関係のないネットワークからSAP Gatewayに届かないことを、ファイアウォールとネットワーク構成で確認します。
-
4
不審な接続がなかったか確認する
Gatewayに外部から届く状態だった場合は、適用の前後でGatewayのログに身に覚えのない接続や操作がないかを見ます。
すぐ更新できないとき
修正を当てるまでのつなぎとして、Gatewayに接続できる送信元をファイアウォールで業務上必要なものだけに絞ります。SAP自身の回避策の有無はSAP Note 3798345で確認してください。これは修正の代わりにはなりません。
背景
SAP Gatewayは、SAPシステムと外部のプログラムや別のSAPシステムとの通信を受け付ける窓口です。この窓口では、接続元が内部のアプリケーションサーバーかどうかを手がかりに、許可する操作を決めています。今回の脆弱性は、その判定の土台に当たる既定のアクセス制御リストが、外部の接続元まで内部扱いにしてしまうものです。内部と外部の線引きが崩れると、後段の権限確認が正しく働いても意味が薄れます。
SAPは毎月第2火曜をSecurity Patch Dayとし、他の大手ベンダーの更新日とそろえて修正を出しています。今回は11月の更新日と重なりました。SAPの運用チームは月次の適用計画の中で、このNoteを優先して扱うことになりそうです。
よくある質問
Q.古いサポートパッケージを使っていても、修正は出ますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
SAP Gateway activates the default Access Control List with high privileges allowing categorization of external attacker as internal application server. As a result an unauthenticated attacker with network access to the SAP Gateway could exploit this weakness to potentially perform unauthorized actions within the application environment, resulting in a high impact on the confidentiality, integrity, and availability of the affected system.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cna@sap.com
- web cna@sap.com
- web nvd.nist.gov
- web github.com