SAP NetWeaver のXXEの脆弱性（CVE-2016-9563）

何が起きた

SAP NetWeaver AS JAVA の BC-BMT-BPM-DSK という部品に、XML 外部実体参照（XXE）と呼ばれる攻撃を受ける弱点が見つかりました。NVD の評価では、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が、利用者の操作なしに悪用できます。CISA によると実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、SAP NetWeaver AS JAVA 7.5 が対象で、bpemuwlconn という URI を通じて攻撃されます。この問題は SAP Security Note 2296909 として扱われています。修正版の詳しい範囲はこのデータからは不明で、SAP のノートは SAP のサポートにログインして読む必要があります。

何をすればいい

SAP NetWeaver AS JAVA 7.5 を使っている場合は、SAP Security Note 2296909 の内容を SAP の公式の案内で確認し、対応を当ててください。CISA も、メーカーの案内に従って更新するよう求めています。

やることチェックリスト

• AS JAVA 7.5 を使っているか調べる
• SAP Security Note 2296909 を適用する
• メーカーの案内に従って更新する

用語メモ

XML 外部実体参照（XXE）

XML という形式のデータを読み込むときに、外部のファイルなどを読み込ませる仕組みを悪用する攻撃です。中身の盗み見などにつながります。

URI

ウェブ上の場所や機能を指し示すための文字列です。URL もその一種です。

SAP Security Note

SAP が出す、脆弱性ごとの説明と修正をまとめた文書です。