CVEノート

最近の脆弱性 › CVE-2016-2388

SAP NetWeaver の情報漏えいの脆弱性（CVE-2016-2388）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2016-2388
製品SAP NetWeaver
深刻度（CVSS）5.3 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
KEVへの追加日2022-06-09
米国政府機関の対応期限2022-06-30
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-200

何が起きた

SAP NetWeaver AS JAVA の Universal Worklist Configuration に、細工した HTTP リクエスト（ウェブの通信の要求）を送ると、利用者の機密情報を手に入れられる弱点が見つかりました。NVD の評価では、ネットワーク経由で、権限のない攻撃者が悪用でき、利用者の操作は不要です。実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した HTTP リクエストを送る → 2. Universal Worklist の設定に届く → 3. 利用者の機密情報を手に入れる1攻撃者が細工した HTTP リクエストを送る2Universal Worklist の設定に届く3利用者の機密情報を手に入れる攻撃の流れ: 1. 攻撃者が細工した HTTP リクエストを送る → 2. Universal Worklist の設定に届く → 3. 利用者の機密情報を手に入れる1攻撃者が細工した HTTP リクエストを送る2Universal Worklist の設定に届く3利用者の機密情報を手に入れる

誰が影響を受ける

SAP NetWeaver AS JAVA を使っている組織が対象です。NVD の説明では、SAP NetWeaver AS JAVA 7.4 が影響を受けます。修正されたバージョンは、このデータからは不明です。

何をすればいい

NVD の説明では、この弱点は SAP Security Note 2256846 に対応しています。メーカーの公式の案内（SAP Security Note 2256846）を確認し、案内に従って更新や対策をしてください。

やることチェックリスト

用語メモ

HTTP リクエスト
ブラウザーなどがウェブサーバーに送る、ページやデータの要求のことです。
SAP Security Note
SAP が出している、セキュリティの修正や対策の手順をまとめた文書です。

元データ（英語・CISA KEV より）

SAP NetWeaver Information Disclosure Vulnerability

概要

The Universal Worklist Configuration in SAP NetWeaver AS JAVA 7.4 allows remote attackers to obtain sensitive user information via a crafted HTTP request.

推奨対応

Apply updates per vendor instructions.

公式情報