CVE 데이터베이스CVE-2025-42999

최종 갱신 2026-08-11English Advisory →

CVE-2025-429999.1/CRITICALCISA KEV 등재CWE-502

SAP NetWeaver Visual Composer Metadata Uploader 역직렬화 취약점 (CVE-2025-42999) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

sap

대상 컴포넌트 / 패키지

netweaver visual composer metadata uploader, netweaver

권고문 발행일

2025-05-13

CVSS v3.1

9.1

CRITICAL

30일 악용확률

12.8%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

SAP NetWeaver Visual Composer Metadata Uploader 모듈을 사용하는 시스템

파급 효과

높은 권한을 가진 공격자가 악성 메타데이터를 업로드하여 신뢰할 수 없는 데이터 역직렬화(CWE-502)를 유발하고, 호스트 시스템의 기밀성, 무결성, 가용성을 완전히 침해(RCE 가능성)할 수 있습니다

권장 조치

SAP 공식 보안 패치(SAP Note 3604119)를 즉시 적용하고, 비인가된 메타데이터 업로드 엔드포인트에 대한 접근을 차단하십시오

영향받는 제품 및 버전 범위

SAP NetWeaver Visual Composer Metadata Uploader (상세 영향 버전 및 패치 정보는 SAP Note 3604119 참조)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

SAP Support Portal에 접속하여 SAP Note 3604119 패치를 다운로드하고 SAP Software Update Manager(SUM)를 통해 최신 지원 패키지를 적용하십시오.

bash

# SAP NetWeaver Java Support Package Manager (SPM) 또는 SUM을 사용하여 패치 적용
# (실무 환경에 맞게 SAP 커맨드라인 도구를 사용하여 아카이브 배포)
./SAPcar -xvf SAP_NOTE_3604119.SAR
./sapcontrol -nr $$INSTANCE_NUMBER$$ -function DeployPatches /path/to/extracted_patch

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용 전까지 외부 및 내부 비인가 네트워크로부터 Visual Composer Metadata Uploader 관련 URL 엔드포인트(/VC/...)로의 접근을 리버스 프록시 또는 WAF 수준에서 차단하십시오.

nginx

# Nginx 리버스 프록시를 사용하는 경우 차단 규칙 예시
server {
    listen 80;
    server_name sap-portal.local;

    # Metadata Uploader 및 Visual Composer 관련 경로 접근 제한
    location ~* ^/VC/.*MetadataUploader {
        deny all;
        return 403 'Access Denied: Unauthorized Access to Metadata Uploader';
    }
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

SAP NetWeaver Java Engine의 defaultTrace.trc 로그 파일에서 Metadata Uploader 호출 기록 및 역직렬화 예외(java.io.ObjectInputStream) 발생 여부를 점검하십시오.

bash

# SAP defaultTrace 로그에서 역직렬화 관련 예외 및 MetadataUploader 키워드 검색
grep -i -E 'ObjectInputStream|MetadataUploader' /usr/sap/*/J*/j2ee/cluster/server*/log/defaultTrace.*.trc

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV에 등재되어 실제 공격에 악용 중인 취약점이므로, 즉시 SAP Note 3604119 보안 패치를 적용하고 외부 노출 엔드포인트 접근을 제한하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2025-42999)은 SAP NetWeaver Visual Composer Metadata Uploader 구성 요소에서 발생하는 신뢰할 수 없는 데이터 역직렬화(CWE-502) 취약점입니다. 시스템이 외부로부터 입력받은 메타데이터 파일의 유효성을 검증하지 않고 역직렬화(Deserialization)하는 과정에서 발생하며, 공격자가 조작된 직렬화 객체를 주입할 경우 애플리케이션 컨텍스트 내에서 임의의 코드가 실행될 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 SAP NetWeaver에 대한 관리자 또는 높은 수준의 권한(PR:H)을 획득한 후, Visual Composer Metadata Uploader 엔드포인트를 통해 악성 페이로드가 포함된 메타데이터 파일을 업로드합니다. 서버가 이 파일을 처리하는 과정에서 Java 역직렬화 가젯 체인(Gadget Chain)이 트리거되며, 이는 최종적으로 OS 명령 실행 또는 웹셸(WebShell) 설치로 이어져 호스트 시스템의 제어권을 완전히 탈취당할 수 있습니다. 본 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 야생(In-the-Wild)에서 악용되고 있으므로 신속한 대응이 필요합니다.

3. 비즈니스 및 인프라 파급 영향

SAP NetWeaver는 기업의 핵심 비즈니스 데이터와 ERP 프로세스를 처리하는 중추적인 인프라입니다. 이 취약점이 성공적으로 악용될 경우, 데이터베이스 내 민감 정보 유출(기밀성 침해), 비즈니스 트랜잭션 데이터 변조(무결성 침해), 그리고 시스템 마비 및 랜섬웨어 감염(가용성 침해) 등 기업 비즈니스 연속성에 치명적인 타격을 입힐 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

SAP NetWeaver Visual Composer Metadata Uploader is vulnerable when a privileged user can upload untrusted or malicious content which, when deserialized, could potentially lead to a compromise of confidentiality, integrity, and availability of the host system.

https://me.sap.com/notes/3604119

출처: cna@sap.com · Permissions Required

https://url.sap/sapsecuritypatchday

출처: cna@sap.com · Vendor Advisory

https://onapsis.com/blog/active-exploitation-of-sap-vulnerability-cve-2025-31324/

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-42999

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2025-42999)

FAQ

Q1. CVE-2025-42999 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2025-42999의 기본 점수는 CVSS 9.1 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 12.8%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2025-42999에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 sap이며, 대상 컴포넌트는 netweaver visual composer metadata uploader, netweaver입니다. 상세 영향 범위: SAP NetWeaver Visual Composer Metadata Uploader (상세 영향 버전 및 패치 정보는 SAP Note 3604119 참조)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] SAP 공식 보안 패치(SAP Note 3604119)를 즉시 적용하고, 비인가된 메타데이터 업로드 엔드포인트에 대한 접근을 차단하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동