CVE 데이터베이스CVE-2021-38163

최종 갱신 2026-06-17English Advisory →

CVE-2021-381638.8/HIGHCISA KEV 등재CWE-22CWE-22

SAP NetWeaver Visual Composer 원격 코드 실행(RCE) 및 임의 파일 업로드 취약점 보안 권고 (CVE-2021-38163)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

sap

대상 컴포넌트 / 패키지

netweaver, visual_composer

권고문 발행일

2021-09-14

CVSS v3.1

8.8

HIGH

30일 악용확률

36.9%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

SAP NetWeaver Visual Composer 7.0 RT (버전 7.30, 7.31, 7.40, 7.50)

파급 효과

관리자 권한이 없는 일반 사용자가 악성 파일을 업로드하고 실행하여 Java 서버 프로세스 권한으로 OS 명령을 실행하거나 서버를 완전히 장악할 수 있음

권장 조치

SAP 공식 보안 노트 3084487 패치를 즉시 적용하고, 외부 노출 경로에 대한 접근 제어를 강화하십시오

영향받는 제품 및 버전 범위

SAP NetWeaver (Visual Composer 7.0 RT) 버전 7.30, 7.31, 7.40, 7.50

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

SAP Support Portal에 접속하여 공식 보안 노트 3084487을 다운로드하고 적용하십시오. SAP NetWeaver Java Support Package Manager(SPM) 또는 SUM(Software Update Manager)을 사용하여 최신 패치 레벨로 업데이트해야 합니다.

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용 전까지 외부로부터의 악의적인 파일 업로드 요청을 차단하기 위해, Nginx Reverse Proxy 또는 WAF(웹 애플리케이션 방화벽)에서 Visual Composer 업로드 경로에 대한 접근을 제한하십시오.

nginx

# Nginx Reverse Proxy를 통한 Visual Composer 업로드 경로 차단 예시
server {
    listen 80;
    server_name sap-portal.local;

    # Visual Composer RT 업로드 관련 엔드포인트 차단
    location ~* ^/VC/.*(upload|import).* {
        deny all;
        return 403 'Access Denied: Unauthorized File Upload Attempt';
    }
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

SAP Java Server의 defaultTrace 로그에서 비정상적인 파일 업로드 시도 및 경로 이탈 패턴(../)을 탐지하는 Bash 스크립트입니다.

bash

#!/bin/bash
# SAP NetWeaver defaultTrace 로그 디렉터리 설정
LOG_DIR='/usr/sap/<SID>/JC<InstanceNo>/j2ee/cluster/server0/log'

echo '[+] Scanning SAP NetWeaver logs for CVE-2021-38163 exploitation attempts...'

# 경로 이탈 및 Visual Composer 업로드 관련 키워드 매칭
if [ -d '$LOG_DIR' ]; then
    grep -rnwi '$LOG_DIR' -e 'VisualComposer' -e '.._..' -e 'upload' | grep -i 'servlet'
else
    echo '[-] Log directory not found. Please check the SAP instance path.'
fi

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV에 등재된 활성 위협이므로, SAP 보안 노트 3084487을 즉시 적용하고 외부 노출된 SAP 포털의 파일 업로드 경로를 차단하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2021-38163)은 SAP NetWeaver Visual Composer 7.0 RT 환경에서 발생하는 심각한 임의 파일 업로드 및 경로 이탈(Path Traversal, CWE-22) 취약점입니다. 시스템 내 파일 업로드 기능 수행 시, 업로드되는 파일의 경로 및 확장자에 대한 적절한 검증 및 제한이 결여되어 발생합니다. 이로 인해 비관리자 권한을 가진 인증된 공격자가 임의의 악성 스크립트나 실행 파일을 서버 내 임의 경로에 업로드할 수 있는 취약한 상태가 유발됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 먼저 일반 사용자 계정(Non-administrative User)으로 SAP NetWeaver 포털에 로그인합니다. 이후 Visual Composer 7.0 RT의 파일 업로드 인터페이스를 통해 조작된 멀티파트 요청(Multipart Request)을 전송합니다. 이때 파일 이름 매개변수에 경로 이탈 문자(../)를 삽입하여 웹 루트 또는 실행 가능한 디렉터리로 업로드를 유도합니다. 업로드가 완료되면 공격자는 해당 파일을 트리거하여 Java Server 프로세스의 권한(일반적으로 높은 수준의 시스템 권한)으로 임의의 운영체제(OS) 명령을 실행하게 됩니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재될 만큼 실제 공격에 적극적으로 악용되는 고위험 취약점입니다. 공격자가 이 취약점을 성공적으로 악용할 경우, SAP 서버 내의 모든 민감한 비즈니스 데이터를 탈취하거나 변조할 수 있습니다. 또한, Java 프로세스 권한을 이용해 서버를 강제로 다운시키는 서비스 거부(DoS) 공격을 수행하거나, 내부망 침투를 위한 거점으로 악용할 수 있어 기업 인프라 전체에 치명적인 피해를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

SAP NetWeaver (Visual Composer 7.0 RT) versions - 7.30, 7.31, 7.40, 7.50, without restriction, an attacker authenticated as a non-administrative user can upload a malicious file over a network and trigger its processing, which is capable of running operating system commands with the privilege of the Java Server process. These commands can be used to read or modify any information on the server or shut the server down making it unavailable.

https://launchpad.support.sap.com/#/notes/3084487

출처: cna@sap.com · Permissions Required

https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=585106405

출처: cna@sap.com · Broken Link, Vendor Advisory

https://launchpad.support.sap.com/#/notes/3084487

출처: af854a3a-2127-422b-91ae-364da2661108 · Permissions Required

https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=585106405

출처: af854a3a-2127-422b-91ae-364da2661108 · Broken Link, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-38163

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource