SAP NetWeaver のSQLインジェクションの脆弱性（CVE-2016-2386）

何が起きた

SAP NetWeaver J2EE Engine の UDDI サーバーに、SQL インジェクション（データベースへの命令を外から書き換えられる弱点）が見つかりました。悪用されると、離れた場所から任意の SQL コマンド（攻撃者が好きに選べるデータベースへの命令）を実行される可能性があります。攻撃の詳しい方法は、このデータからは不明です。NVD の評価では、ネットワーク経由で、権限のない攻撃者が悪用でき、利用者の操作は不要です。実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

SAP NetWeaver J2EE Engine を使っている組織が対象です。NVD の説明では、SAP NetWeaver J2EE Engine 7.40 が影響を受けます。修正されたバージョンは、このデータからは不明です。

何をすればいい

NVD の説明では、この弱点は SAP Security Note 2101079 に対応しています。メーカーの公式の案内（SAP Security Note 2101079）を確認し、案内に従って更新や対策をしてください。

やることチェックリスト

• J2EE Engine 7.40 を使っているか確かめる
• SAP Security Note 2101079 を適用する
• SAP の案内に従って更新や対策をする

用語メモ

SQL インジェクション 用語集で見る

入力に細工をして、データベースへの命令を不正に書き換える攻撃です。情報を盗まれたり書き換えられたりします。

UDDI

ネットワーク上のサービスの情報を登録して、探せるようにする仕組みです。

SAP Security Note

SAP が出している、セキュリティの修正や対策の手順をまとめた文書です。