SAP NetWeaver のリモートコード実行の脆弱性（CVE-2010-5326）

何が起きた

SAP NetWeaver Application Server の Java 環境にある Invoker Servlet が、ログインを求めずに動いてしまう弱点が見つかり、実際の悪用が確認されています。NVD の評価では、ネットワーク経由で、ログイン不要、利用者の操作も不要で悪用できます。NVD の説明によると、HTTP や HTTPS の要求を送るだけで任意のコードを実行されるおそれがあり、2013年から2016年にかけて実際に悪用されました。CISA（当時の US-CERT）によると、悪用されると SAP の業務情報や業務の流れを完全に操られるおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、SAP NetWeaver Application Server の Java 環境が対象で、7.3 より前のバージョンが影響を受ける可能性があります。CISA（当時の US-CERT）は、SAP は2010年に修正を出したものの、古いままのシステムや設定に問題のあるシステムが今も影響を受けていると説明しています。

何をすればいい

CISA（当時の US-CERT）は、SAP Security Note 1445998 を適用し、Invoker Servlet を無効にするよう勧めています。SAP のノートは、SAP のサポートにログインして読む必要があります。公式の案内を確認し、SAP NetWeaver の Java 環境に対策が入っているか確かめてください。

やることチェックリスト

• SAP Security Note 1445998 を適用する
• Invoker Servlet を無効にする
• Java 環境のバージョンを確かめる

用語メモ

Invoker Servlet

SAP NetWeaver の Java 環境にある、名前を指定してサーブレット（サーバー側の小さなプログラム）を呼び出せる仕組みです。

HTTP 用語集で見る

Web ページなどをやり取りするときに使う通信の決まりです。HTTPS はそれを暗号化したものです。

任意のコード 用語集で見る

攻撃者が好きに選んだプログラムの命令のことです。