CVE 취약점 권고문 데이터베이스

[영향 대상] SAP NetWeaver Visual Composer Metadata Uploader 모듈을 사용하는 시스템

[파급 효과] 높은 권한을 가진 공격자가 악성 메타데이터를 업로드하여 신뢰할 수 없는 데이터 역직렬화(CWE-502)를 유발하고, 호스트 시스템의 기밀성, 무결성, 가용성을 완전히 침해(RCE 가능성)할 수 있습니다

[권장 조치] SAP 공식 보안 패치(SAP Note 3604119)를 즉시 적용하고, 비인가된 메타데이터 업로드 엔드포인트에 대한 접근을 차단하십시오

[영향 대상] SAP NetWeaver Visual Composer Metadata Uploader 구성 요소를 사용하는 SAP 시스템 환경.

[파급 효과] 인증되지 않은 공격자가 악성 실행 파일(웹셸 등)을 업로드하여 대상 호스트 시스템의 기밀성, 무결성, 가용성을 완전히 장악하고 원격 코드를 실행할 수 있습니다.

[권장 조치] SAP 공식 보안 패치(SAP Note 3594142)를 즉시 적용하고, 패치 적용 전까지 외부로부터의 Metadata Uploader URL 접근을 차단하십시오.

[영향 대상] SAP NetWeaver AS ABAP, AS Java, ABAP Platform, SAP Content Server 7.53 및 SAP Web Dispatcher

[파급 효과] 인증되지 않은 공격자가 피해자의 HTTP 요청 앞에 임의의 데이터를 삽입하여 피해자 세션을 탈취하거나, 중간 웹 캐시를 오염시키고 시스템의 기밀성, 무결성, 가용성을 완전히 침해할 수 있습니다

[권장 조치] SAP 공식 보안 패치(SAP Note 3123396)를 즉시 적용하고, 패치 적용 전까지 역방향 프록시 및 WAF에서 비정상적인 HTTP 요청 헤더 필터링을 강화하십시오

[영향 대상] SAP NetWeaver AS JAVA 7.30, 7.31, 7.40, 7.50 버전의 LM Configuration Wizard 구성 요소

[파급 효과] 인증되지 않은 원격 공격자가 관리자 권한의 계정을 생성하고 SAP 시스템의 기밀성, 무결성, 가용성을 완전히 장악할 수 있습니다

[권장 조치] SAP Security Note 2934135 패치를 즉시 적용하거나, 임시 조치로 CTC 웹 애플리케이션 서비스를 비활성화하십시오

[영향 대상] SAP Solution Manager (User Experience Monitoring) 7.2 버전에 연결된 모든 SMDAgent

[파급 효과] 공격자가 인증 없이 네트워크를 통해 솔루션 매니저에 연결된 모든 SMDAgent를 완전히 장악하고 원격 명령을 실행할 수 있습니다

[권장 조치] SAP 공식 보안 패치(SAP Note 2890213)를 즉시 적용하고, 에이전트 통신 포트에 대한 네트워크 접근 제어를 강화하십시오

[영향 대상] SAP Commerce Cloud (구 Hybris) 6.4, 6.5, 6.6, 6.7, 1808, 1811, 1905 버전 및 가상 JDBC(virtualjdbc) 확장 모듈 활성화 환경

[파급 효과] 인증되지 않은 원격 공격자가 안전하지 않은 역직렬화(Insecure Deserialization)를 악용하여 'Hybris' 사용자 권한으로 대상 서버에서 임의의 시스템 명령을 실행할 수 있습니다

[권장 조치] SAP 공식 보안 패치(SAP Note 2786035)를 적용하거나, 사용하지 않는 virtualjdbc 확장 모듈을 비활성화하고 외부 접근을 차단하십시오

[영향 대상] SAP NetWeaver Application Server Java 7.3 미만 버전 및 Invoker Servlet이 활성화된 시스템

[파급 효과] 인증되지 않은 원격 공격자가 HTTP/HTTPS 요청을 통해 대상 서버에서 임의의 OS 명령 및 Java 코드를 실행할 수 있는 심각한 위험 (CVSS 10.0)

[권장 조치] SAP Note 1445998 패치를 적용하고, web.xml 설정을 수정하여 Invoker Servlet을 완전히 비활성화하십시오

[영향 대상] SAP NetWeaver J2EE Engine 7.40 버전에서 구동되는 UDDI(Universal Description, Discovery, and Integration) 서버 구성 요소.

[파급 효과] 인증되지 않은 원격 공격자가 특수하게 조작된 요청을 전송하여 데이터베이스 내 임의 SQL 명령을 실행하고, 시스템 제어권을 획득하거나 민감한 비즈니스 데이터를 탈취할 수 있습니다.

[권장 조치] SAP Security Note 2101079 패치를 즉시 적용하고, 불필요한 UDDI 서비스 비활성화 및 WAF 차단 규칙을 설정하십시오.