SAP Web Dispatcherにコード実行の脆弱性、修正を案内
SAP Web Dispatcherに、ネットワーク経由で任意のコードを実行されるおそれのある脆弱性（CVSS v3は10.0）が公表されました。SAP製品を使う組織は、SAP Note 3778556で自社の版が該当するかを確認し、修正を適用してください。
急ぎ度: 至急
CVSS v3は満点の10.0で、認証なしにシステム全体を掌握されるおそれがあり、SAPがPatch Dayに合わせて修正を案内しているためです。
関係があるか
SAP Web Dispatcherを使っている組織が対象です。SAPのシステムの前段に置いてWebアクセスを受け付けている構成や、関連するカーネル・実行環境を使っている構成は、版を確認する必要があります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| SAP Web Dispatcher | WEBDISP 7.53、7.54、7.77、7.93、9.16、9.18、9.20（7.54以降の版は、CVE記録では版番号のみの表記です） | SAP Note 3778556で案内されています。修正後の版とパッチレベルはノートで確認してください |
| SAP Kernel関連のコンポーネント | KRNL64UC 7.53、KERNEL 7.53 | SAP Note 3778556で案内されています |
| SAP HANA関連のコンポーネント | HDB 2.00、XS_ADVANCED_RUNTIME 1.00、SAP_EXTENDED_APP_SERVICES 1 | SAP Note 3778556で案内されています |
確かめ方
- 1自社のSAP環境で、Web Dispatcherが動いているホストを洗い出します。単体で置いている場合だけでなく、SAP HANA周辺の実行環境やカーネルに含まれている場合もあります。
- 2各ホストで版を確認し、上の表にある版と照らします。
- 3インターネットや取引先のネットワークに公開しているWeb Dispatcherがあれば、そこから優先して確認します。
- 4SAP for MeでSAP Note 3778556を開き、自社の製品・版・サポートパッケージが修正の対象かを確かめます。
何が起きたか
SAP Web Dispatcherに、細工されたネットワーク通信を処理するとメモリが壊れる脆弱性が見つかりました。悪用されると、攻撃者が任意のコードを実行し、システム全体を掌握できるおそれがあります。
原因は、内部のコンポーネントが特定のネットワーク入力を十分に検証していないことです。種類はCWE-122で、ヒープ領域のバッファオーバーフローに分類されます。機密性・完全性・可用性のいずれにも高い影響が出ると評価されています。
この脆弱性は、SAPが毎月第2火曜に出すSecurity Patch Dayの2026年11月10日分として公表されました。SAPはPatch Dayに、セキュリティ修正をSAP Security Notesとして提供します。今回の修正はSAP Note 3778556で案内されています。
攻撃の流れ
-
1
通信が届く
攻撃者がWeb Dispatcherにネットワーク経由で到達します。
-
2
細工した入力
内部コンポーネントが、細工されたネットワーク入力を十分に検証せずに処理します。
-
3
メモリ破壊
ヒープ領域が壊れた状態になります。
-
4
コード実行
攻撃者が選んだコードが実行されます。
-
5
システム掌握
機密性・完全性・可用性のすべてに高い影響が出ます。
どう悪用されるか
攻撃者はログインする必要がなく、利用者に何かを操作させる必要もありません。ネットワーク経由でWeb Dispatcherに通信を送れる位置にいれば足ります。CVSSのベクトルでは、攻撃の複雑さは低く、影響が脆弱なコンポーネントの外にまで及ぶ（スコープの変更あり）と評価されています。
Web Dispatcherは外部からのアクセスを最初に受ける位置に置かれることが多く、公開範囲が広い構成ほど、攻撃者が通信を送れる相手は増えます。
悪用に成功すると、任意のコードを実行され、システム全体を掌握されるおそれがあります。Web Dispatcherの背後にあるSAPシステムの運用にも、影響が及びかねません。
今すぐやること
-
1
Web Dispatcherの稼働ホストと版を洗い出す
単体で置いたものと、ほかのSAP製品に含まれるものの両方を対象にします。インターネットに公開しているホストを先頭にします。
sapwebdisp -v -
2
SAP Note 3778556を確認して修正を適用する
SAP for Meでノートを開き、自社の版に対応する修正とパッチレベルを確かめます。検証環境で動作を確認したうえで、公開系のホストから順に本番へ適用します。
-
3
保守の対象内かを確認する
SAPは、重大度が高い・非常に高いセキュリティノートの修正を、直近24か月以内に出荷したサポートパッケージにだけ提供する方針です。対象の製品版が標準保守か延長保守の期間内であることも条件です。保守の対象外の版を使っている場合は、修正が出ない可能性があります。SAP Note 3778556とSAPの案内で確かめ、版の引き上げを計画します。
-
4
適用までの間、公開範囲とログを見直す
Web Dispatcherに通信を送れる範囲に不要な公開がないかを点検します。あわせて、予期しないプロセスの停止や再起動、普段と違う接続元がないかを、ログで確認します。
すぐ更新できないとき
SAPが案内する回避策の有無は、SAP Note 3778556で確認してください。修正を当てるまでのつなぎとしては、Web Dispatcherへ通信できる送信元をファイアウォールやネットワーク機器で必要最小限に絞る方法があります。これは公式の回避策ではなく、公開範囲を狭めて攻撃を受けにくくする一般的な措置です。修正の適用の代わりにはなりません。
背景
SAP Web Dispatcherは、SAPのアプリケーションサーバーの手前に置いて、HTTPやHTTPSのリクエストを振り分けるソフトウェアです。負荷分散やリバースプロキシの役割を担い、社外のユーザーや取引先からのアクセスを最初に受ける位置に置かれることがよくあります。基幹システムの入り口にあたるため、ここが破られると、背後のSAP環境への足がかりになりかねません。
同じ入り口の周辺では、2022年にCVE-2022-22536（通称ICMAD）が問題になりました。SAPのInternet Communication Managerで見つかった脆弱性で、Web Dispatcherも影響を受けました。今回の脆弱性が同じ部品に由来するかは、公開されている記録では分かりません。ただ、SAPの入り口に置く通信処理の部品が、これまでも攻撃者の関心を集めてきたのは確かです。
よくある質問
Q.次のSAP Security Patch Dayはいつですか。
Q.社内ネットワークからしか使っていないWeb Dispatcherも対象ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
SAP Web Dispatcher does not sufficiently validate certain network input processed by an internal component. An unauthenticated attacker could send specially crafted network traffic to trigger a memory corruption condition in the affected functionality. Successful exploitation could allow the attacker to execute arbitrary code and fully compromise the system, resulting in a high impact on confidentiality, integrity and availability of the system.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cna@sap.com
- web cna@sap.com
- web nvd.nist.gov
- web github.com