SAP Web DispatcherのCSRF脆弱性、修正版あり
SAP Web DispatcherとABAPサーバーのICMに、管理者のブラウザーを経由してOS全体を乗っ取られるおそれのある脆弱性が公表されました。該当の版を使う企業は、SAP Note 3804858で修正内容を確認し、今月のパッチデーの適用に組み込んでください。
急ぎ度: 早めに
CVSS v3は9.6でOS全体の侵害に至るおそれがあり、公表と同じ日に修正がSAP Security Noteとして案内されているため、今月のパッチデーで優先して適用すべきです。
関係があるか
SAP Web Dispatcher、またはSAP NetWeaver Application Server ABAPのICM（Internet Communication Manager）を運用している企業が対象です。ABAP系のSAPシステムは、基幹システムの前段や本体にこれらを置いていることが多く、該当する組織は少なくないでしょう。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| SAP Web Dispatcher and Internet Communication Manager | WEBDISP 7.93、KERNEL 7.93、XS_ADVANCED_RUNTIME 1.00、9.16、9.20、9.21（CVEの記録に載っている版） | SAP Security Note 3804858で修正が案内されています。修正を含む版とパッチレベルはこのノートで確認してください。 |
確かめ方
- 1SAP for MeでSecurity Note 3804858を開き、対象の版と自社のカーネルまたはWeb Dispatcherの版を突き合わせます。
- 2ABAPシステムは、SAP GUIの［システム］メニューの［ステータス］で、カーネルのリリースとパッチレベルを確認します。
- 3Web Dispatcherは、稼働しているホストごとに版を控えます。ABAPシステムとは別の版で動いていることがあります。
- 4XS_ADVANCED_RUNTIMを使う環境は、その版が1.00かどうかも見ます。
何が起きたか
SAP Web DispatcherとABAPサーバーのICMに、管理者向けの機能を悪用されると、サーバーのOS全体を乗っ取られるおそれがある脆弱性が見つかりました。
原因は、管理用の機能がリクエストを十分に検証していないことです。種類はCSRF（CWE-352）で、サーバーを直接攻撃するのではなく、ログイン中の管理者のセッションを借りて意図しない操作をさせます。
CVSS v3は9.6（critical）で、機密性・完全性・可用性のすべてに高い影響が出るとされています。SAPは月の第2火曜日のSecurity Patch Dayに合わせて、この修正をSecurity Noteとして公開しました。
攻撃の流れ
-
1
罠のリンク
攻撃者が、悪意あるリンクを管理者に踏ませる準備をします。
-
2
管理者が閲覧
管理機能にログイン中の管理者が、そのリンクを開きます。
-
3
不正な操作
管理者のセッションで、本人の意図しない管理操作が実行されます。
-
4
OSの侵害
成功すると、基盤のOS全体が侵害されるおそれがあります。
どう悪用されるか
攻撃者はSAPシステムへのログインを必要としません。ネットワーク越しに仕掛けられ、複雑な準備もいりません。ただし、管理機能にログインしている管理者が、悪意あるリンクを開く必要があります。
成功すると、管理者のセッションで意図しない操作が実行され、基盤のOS全体の侵害につながるおそれがあります。機密情報の読み取り、設定やデータの改ざん、サービスの停止のいずれも起こりえます。攻撃が管理者のブラウザーを経由するため、被害が管理機能の範囲にとどまらず、OSに及ぶ点が深刻です。
今すぐやること
-
1
対象かどうかを確認する
ABAPシステムとWeb Dispatcherのカーネルと版を洗い出し、Note 3804858の対象と突き合わせます。開発・検証環境も同じ手順で見ます。
-
2
Note 3804858の修正を適用する
SAP for Meでノートを読み、対象のカーネルやWeb Dispatcherを修正版に更新します。NetWeaver系の製品では、サポートパッケージにも修正が含まれます。本番は検証環境で動作を確認してから適用します。
-
3
適用までの管理者の運用を絞る
管理機能にログインしたまま、メールのリンクや外部サイトを開かないよう管理者に周知します。管理作業が終わったら必ずログアウトさせます。
-
4
適用後に版を再確認する
更新後にカーネルのパッチレベルとWeb Dispatcherの版を確認し、ノートに記載された修正版に達していることを記録します。
すぐ更新できないとき
読めた範囲の一次情報には、回避策の記載がありません。ノートに回避策があるかは、SAP for MeのNote 3804858で確認してください。修正版を適用するまでのつなぎとしては、管理作業用のブラウザーを普段使いと分ける、管理機能へのログイン中は他のサイトを開かない、作業後はすぐログアウトする、といった運用が考えられます。これはSAPの案内ではなく、一般的な対策です。
背景
Web Dispatcherは、SAPシステムの前段に置くリバースプロキシ兼ロードバランサーです。ブラウザーからの通信を受けて、背後のABAPサーバーなどに振り分けます。ICMはABAPサーバー側でHTTP(S)通信を受け持つ部品で、Web Dispatcherと同じ系統の通信処理を担います。どちらも基幹システムへの入口にあたるため、ここが乗っ取られると影響は業務システム全体に広がります。
今回のCSRFは、サーバーのコードを直接破るのではなく、管理者のブラウザーが送るリクエストを悪用します。この種の脆弱性は通常、管理画面での設定変更などにとどまりがちです。今回はCVSSのスコープが変わる（S:C）と評価され、基盤のOSまで影響が及ぶとされています。そのため、管理画面を持つ他の製品のCSRFより影響が大きい点が目を引きます。
よくある質問
Q.保守期限の切れた古いカーネルを使っています。修正は受けられますか。
Q.社内だけで使っていて、インターネットには公開していません。急がなくてよいですか。
まだ分かっていないこと
- CVEの記録には、実際の攻撃で悪用された報告は書かれていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
SAP Web Dispatcher and SAP NetWeaver Application Server ABAP (Internet Communication Manager) do not perform sufficient request validation in certain administrative functionality. In the context of Application Server ABAP and SAP Web Dispatcher, an unauthenticated attacker could trick a logged-on administrator into visiting a malicious link. Visiting the link could cause unintended actions in the administrator's session. Successful exploitation could lead to a full compromise of the underlying operating system, resulting in a high impact on confidentiality, integrity, and availability.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cna@sap.com
- web cna@sap.com
- web nvd.nist.gov
- web github.com