CVE 데이터베이스CVE-2022-22536

최종 갱신 2026-06-17English Advisory →

CVE-2022-2253610.0/CRITICALCISA KEV 등재CWE-444CWE-444

SAP NetWeaver 및 Web Dispatcher HTTP 요청 스머글링(Request Smuggling) 취약점 (CVE-2022-22536) 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

sap

대상 컴포넌트 / 패키지

netweaver_application_server_abap, netweaver_application_server_java, abap_platform, sap_content_server, web_dispatcher

권고문 발행일

2022-02-09

CVSS v3.1

10.0

CRITICAL

30일 악용확률

98.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

SAP NetWeaver AS ABAP, AS Java, ABAP Platform, SAP Content Server 7.53 및 SAP Web Dispatcher

파급 효과

인증되지 않은 공격자가 피해자의 HTTP 요청 앞에 임의의 데이터를 삽입하여 피해자 세션을 탈취하거나, 중간 웹 캐시를 오염시키고 시스템의 기밀성, 무결성, 가용성을 완전히 침해할 수 있습니다

권장 조치

SAP 공식 보안 패치(SAP Note 3123396)를 즉시 적용하고, 패치 적용 전까지 역방향 프록시 및 WAF에서 비정상적인 HTTP 요청 헤더 필터링을 강화하십시오

영향받는 제품 및 버전 범위

SAP NetWeaver Application Server ABAP, SAP NetWeaver Application Server Java, ABAP Platform, SAP Content Server 7.53, SAP Web Dispatcher

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

SAP 공식 지원 포털을 통해 각 구성 요소별 최신 커널 및 패치를 적용해야 합니다. SAP Note 3123396을 참조하여 시스템을 업데이트하십시오.

bash

# SAP Web Dispatcher 및 커널 버전 확인 예시
sapwebdisp -v
disp+work -v

# SAP Note 3123396 지침에 따라 최신 커널 패치 다운로드 및 적용 (SAP CAR 도구 사용)
SAPCAR -xvf KERNEL_PATCH.SAR

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용 전까지 임시 조치로 SAP Web Dispatcher 또는 리버스 프록시 단에서 HTTP/1.1 파이프라이닝(Pipelining)을 비활성화하거나, Transfer-Encoding 헤더가 포함된 비정상적인 다중 요청을 차단하도록 설정합니다.

nginx

# Nginx 역방향 프록시를 사용하는 경우, 비정상 헤더 차단 및 HTTP 파이프라이닝 제한 설정
http {
    ignore_invalid_headers on;
    client_max_body_size 10M;
    
    # Transfer-Encoding과 Content-Length가 동시에 존재하는 요청 차단 규칙 예시
    map $http_transfer_encoding $te_present {
        default 0;
        '~.+' 1;
    }
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

HTTP 요청 로그에서 동일한 커넥션을 통해 비정상적으로 짧은 간격으로 유입된 다중 요청이나, Content-Length와 Transfer-Encoding 헤더가 동시에 존재하여 오류(400 Bad Request 등)를 유발한 이력을 점검합니다.

bash

# SAP Web Dispatcher 또는 웹 서버 액세스 로그에서 잠재적인 HTTP 스머글링 패턴 검색
# Transfer-Encoding(TE) 및 Content-Length(CL) 혼용 시도 분석
grep -i 'Transfer-Encoding' /usr/sap/etc/access_log | grep -i 'Content-Length'

# HTTP 400 에러 및 비정상적인 POST 요청 빈도 분석
awk '$9 == 400 {print $1, $7}' /usr/sap/etc/access_log | sort | uniq -c | sort -nr | head -n 20

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

본 취약점은 실제 공격에 악용된 이력이 있는 초고위험 취약점이므로, 즉시 SAP Note 3123396 패치를 적용하고 외부 노출된 SAP Web Dispatcher의 접근 제어를 강화하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2022-22536)은 SAP NetWeaver Application Server 및 SAP Web Dispatcher가 HTTP 요청을 처리하는 과정에서 발생하는 HTTP 요청 스머글링(Request Smuggling) 및 요청 연결(Request Concatenation) 취약점입니다. HTTP/1.1 프로토콜의 Content-Length 헤더와 Transfer-Encoding 헤더를 동시에 처리할 때 발생하는 파싱 불일치(Parsing Discrepancy) 또는 다중 요청 경계 처리 미흡으로 인해 발생합니다. 이로 인해 프록시 서버와 백엔드 서버가 동일한 HTTP 스트림 내의 요청 경계를 서로 다르게 해석하게 됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

인증되지 않은 원격의 공격자는 특수하게 조작된 HTTP 요청 스트림을 전송합니다. 프록시(예: SAP Web Dispatcher)는 이 요청을 하나의 요청으로 인식하여 백엔드로 전달하지만, 백엔드(예: SAP NetWeaver AS)는 이를 두 개 이상의 독립된 요청으로 해석합니다. 이 과정에서 공격자가 '밀수(Smuggle)'한 두 번째 요청이 대기열에 남아 있다가, 이후에 인입되는 일반 사용자의 정상적인 요청 앞에 강제로 결합(Concatenation)됩니다. 결과적으로 공격자는 피해자의 세션 컨텍스트 내에서 임의의 기능을 실행하거나, 중간 캐시 서버를 오염(Cache Poisoning)시켜 다른 사용자들에게 악성 콘텐츠를 유포할 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 10.0의 최고 위험도를 기록하였으며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 악용된 사례가 확인되었습니다. 공격자는 어떠한 권한도 없는 상태에서 시스템의 기밀성, 무결성, 가용성을 완전히 장악할 수 있습니다. SAP ERP, CRM 등 기업의 핵심 비즈니스 자산이 구동되는 인프라가 직접적인 타깃이 되므로, 세션 하이재킹을 통한 무단 데이터 유출 및 비즈니스 프로세스 마비 등 치명적인 피해로 이어질 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

SAP NetWeaver Application Server ABAP, SAP NetWeaver Application Server Java, ABAP Platform, SAP Content Server 7.53 and SAP Web Dispatcher are vulnerable for request smuggling and request concatenation. An unauthenticated attacker can prepend a victim's request with arbitrary data. This way, the attacker can execute functions impersonating the victim or poison intermediary Web caches. A successful attack could result in complete compromise of Confidentiality, Integrity and Availability of the system.

https://launchpad.support.sap.com/#/notes/3123396

출처: cna@sap.com · Permissions Required

https://www.sap.com/documents/2022/02/fa865ea4-167e-0010-bca6-c68f7e60039b.html

출처: cna@sap.com · Broken Link, Not Applicable, Vendor Advisory

https://launchpad.support.sap.com/#/notes/3123396

출처: af854a3a-2127-422b-91ae-364da2661108 · Permissions Required

https://www.sap.com/documents/2022/02/fa865ea4-167e-0010-bca6-c68f7e60039b.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Broken Link, Not Applicable, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-22536

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2022-22536)

FAQ

Q1. CVE-2022-22536 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2022-22536의 기본 점수는 CVSS 10.0 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 98.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2022-22536에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 sap이며, 대상 컴포넌트는 netweaver_application_server_abap, netweaver_application_server_java, abap_platform, sap_content_server, web_dispatcher입니다. 상세 영향 범위: SAP NetWeaver Application Server ABAP, SAP NetWeaver Application Server Java, ABAP Platform, SAP Content Server 7.53, SAP Web Dispatcher

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] SAP 공식 보안 패치(SAP Note 3123396)를 즉시 적용하고, 패치 적용 전까지 역방향 프록시 및 WAF에서 비정상적인 HTTP 요청 헤더 필터링을 강화하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동