• ひとことでSAP NetWeaver の部品に、XML の読み込みを悪用される弱点
  • 深刻度6.5 警告CVSS v3.1
  • まずやることAS JAVA 7.5 を使っているか調べる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2016-9563
製品SAP NetWeaver
深刻度（CVSS）6.5 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
KEVへの追加日2021-11-03
米国政府機関の対応期限2022-05-03
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-611（XML外部実体参照の制限の不備（XXE））

何が起きた

SAP NetWeaver AS JAVA の BC-BMT-BPM-DSK という部品に、XML 外部実体参照（XXE）と呼ばれる攻撃を受ける弱点が見つかりました。NVD の評価では、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が、利用者の操作なしに悪用できます。CISA によると実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がログインした状態を用意する → 2. bpemuwlconn の URI に細工した XML を送る → 3. サーバーが XML 外部実体参照（XXE）を処理する1攻撃者がログインした状態を用意する2bpemuwlconn の URI に細工した XML を送る3サーバーが XML 外部実体参照（XXE）を処理する攻撃の流れ: 1. 攻撃者がログインした状態を用意する → 2. bpemuwlconn の URI に細工した XML を送る → 3. サーバーが XML 外部実体参照（XXE）を処理する1攻撃者がログインした状態を用意する2bpemuwlconn の URI に細工した XML を送る3サーバーが XML 外部実体参照（XXE）を処理する攻撃の流れ: 1. 攻撃者がログインした状態を用意する → 2. bpemuwlconn の URI に細工した XML を送る → 3. サーバーが XML 外部実体参照（XXE）を処理する1攻撃者がログインした状態を用意する2bpemuwlconn の URI に細工した XML を送る3サーバーが XML 外部実体参照（XXE）を処理する

誰が影響を受ける

NVD の説明では、SAP NetWeaver AS JAVA 7.5 が対象で、bpemuwlconn という URI を通じて攻撃されます。この問題は SAP Security Note 2296909 として扱われています。修正版の詳しい範囲はこのデータからは不明で、SAP のノートは SAP のサポートにログインして読む必要があります。

何をすればいい

SAP NetWeaver AS JAVA 7.5 を使っている場合は、SAP Security Note 2296909 の内容を SAP の公式の案内で確認し、対応を当ててください。CISA も、メーカーの案内に従って更新するよう求めています。

やることチェックリスト

  • AS JAVA 7.5 を使っているか調べる
  • SAP Security Note 2296909 を適用する
  • メーカーの案内に従って更新する

用語メモ

XML 外部実体参照（XXE）
XML という形式のデータを読み込むときに、外部のファイルなどを読み込ませる仕組みを悪用する攻撃です。中身の盗み見などにつながります。
URI
ウェブ上の場所や機能を指し示すための文字列です。URL もその一種です。
SAP Security Note
SAP が出す、脆弱性ごとの説明と修正をまとめた文書です。

次に読む

同じ製品・メーカーの脆弱性SAP NetWeaver（CVE-2025-42999）9.1 緊急CVSS v3.1SAP NetWeaver の Visual Composer で、不正なデータの読み込みからサーバーが危険にさらされる弱点です。同じ製品・メーカーの脆弱性SAP NetWeaver（CVE-2025-31324）9.8 緊急CVSS v3.1SAP NetWeaver の Visual Composer で、ログインなしに危険なファイルを置ける弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

SAP NetWeaver XML External Entity (XXE) Vulnerability

概要

SAP NetWeaver Application Server Java Platforms contains an unspecified vulnerability in BC-BMT-BPM-DSK which allows remote, authenticated users to conduct XML External Entity (XXE) attacks.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る