- ひとことでSAP NetWeaver AS JAVA で、細工した通信により利用者の情報を盗まれる弱点です。
- 深刻度5.3 警告CVSS v3.1
- まずやることAS JAVA 7.4 を使っているか確かめる
基本情報（データから表示）
| CVE番号 | CVE-2016-2388 |
|---|---|
| 製品 | SAP NetWeaver |
| 深刻度（CVSS） | 5.3 警告CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
| KEVへの追加日 | 2022-06-09 |
| 米国政府機関の対応期限 | 2022-06-30 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-200（権限のない人への機密情報の露出） |
何が起きた
SAP NetWeaver AS JAVA の Universal Worklist Configuration に、細工した HTTP リクエスト（ウェブの通信の要求）を送ると、利用者の機密情報を手に入れられる弱点が見つかりました。NVD の評価では、ネットワーク経由で、権限のない攻撃者が悪用でき、利用者の操作は不要です。実際の攻撃での悪用が確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
SAP NetWeaver AS JAVA を使っている組織が対象です。NVD の説明では、SAP NetWeaver AS JAVA 7.4 が影響を受けます。修正されたバージョンは、このデータからは不明です。
何をすればいい
NVD の説明では、この弱点は SAP Security Note 2256846 に対応しています。メーカーの公式の案内（SAP Security Note 2256846）を確認し、案内に従って更新や対策をしてください。
やることチェックリスト
- AS JAVA 7.4 を使っているか確かめる
- SAP Security Note 2256846 を適用する
- SAP の案内に従って更新や対策をする
用語メモ
- HTTP リクエスト 用語集で見る
- ブラウザーなどがウェブサーバーに送る、ページやデータの要求のことです。
- SAP Security Note
- SAP が出している、セキュリティの修正や対策の手順をまとめた文書です。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
SAP NetWeaver Information Disclosure Vulnerability
概要
The Universal Worklist Configuration in SAP NetWeaver AS JAVA 7.4 allows remote attackers to obtain sensitive user information via a crafted HTTP request.
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る