CVE 취약점 권고문 데이터베이스

[영향 대상] SAP NetWeaver Visual Composer Metadata Uploader 모듈을 사용하는 시스템

[파급 효과] 높은 권한을 가진 공격자가 악성 메타데이터를 업로드하여 신뢰할 수 없는 데이터 역직렬화(CWE-502)를 유발하고, 호스트 시스템의 기밀성, 무결성, 가용성을 완전히 침해(RCE 가능성)할 수 있습니다

[권장 조치] SAP 공식 보안 패치(SAP Note 3604119)를 즉시 적용하고, 비인가된 메타데이터 업로드 엔드포인트에 대한 접근을 차단하십시오

[영향 대상] SAP NetWeaver Visual Composer Metadata Uploader 구성 요소를 사용하는 SAP 시스템 환경.

[파급 효과] 인증되지 않은 공격자가 악성 실행 파일(웹셸 등)을 업로드하여 대상 호스트 시스템의 기밀성, 무결성, 가용성을 완전히 장악하고 원격 코드를 실행할 수 있습니다.

[권장 조치] SAP 공식 보안 패치(SAP Note 3594142)를 즉시 적용하고, 패치 적용 전까지 외부로부터의 Metadata Uploader URL 접근을 차단하십시오.

[영향 대상] SAP NetWeaver Visual Composer 7.0 RT (버전 7.30, 7.31, 7.40, 7.50)

[파급 효과] 관리자 권한이 없는 일반 사용자가 악성 파일을 업로드하고 실행하여 Java 서버 프로세스 권한으로 OS 명령을 실행하거나 서버를 완전히 장악할 수 있음

[권장 조치] SAP 공식 보안 노트 3084487 패치를 즉시 적용하고, 외부 노출 경로에 대한 접근 제어를 강화하십시오

[영향 대상] SAP NetWeaver Application Server Java 7.5 버전.

[파급 효과] 인증되지 않은 원격 공격자가 디렉토리 트래버스(../) 기법을 사용하여 서버 내부의 민감한 시스템 파일 및 설정 정보를 무단으로 탈취할 수 있습니다.

[권장 조치] SAP Security Note 2486657 패치를 즉시 적용하고, 패치 적용 전까지 WAF 규칙을 통해 디렉토리 트래버스 패턴을 차단하십시오.

[영향 대상] SAP NetWeaver AS JAVA 7.4 버전의 Universal Worklist(UWL) 구성 요소를 사용하는 시스템.

[파급 효과] 인증되지 않은 원격 공격자가 조작된 HTTP 요청을 전송하여 시스템 내부의 민감한 사용자 정보 및 구성 데이터를 획득할 수 있습니다.

[권장 조치] SAP Security Note 2256846 패치를 즉시 적용하고, 외부망에서 UWL 관련 엔드포인트로의 접근을 차단하십시오.

[영향 대상] SAP NetWeaver J2EE Engine 7.40 버전에서 구동되는 UDDI(Universal Description, Discovery, and Integration) 서버 구성 요소.

[파급 효과] 인증되지 않은 원격 공격자가 특수하게 조작된 요청을 전송하여 데이터베이스 내 임의 SQL 명령을 실행하고, 시스템 제어권을 획득하거나 민감한 비즈니스 데이터를 탈취할 수 있습니다.

[권장 조치] SAP Security Note 2101079 패치를 즉시 적용하고, 불필요한 UDDI 서비스 비활성화 및 WAF 차단 규칙을 설정하십시오.