CVE-2018-2380とは？SAP Customer Relationship Management (CRM)の脆弱性をわかりやすく解説

ひとことでSAP CRM で、ファイルの場所の指定を悪用され、別の場所を扱われるおそれがある弱点です。
深刻度6.6 警告CVSS v3.1
まずやること使っている SAP CRM の版を確かめる

基本情報（データから表示）

CVE番号	CVE-2018-2380
製品	SAP Customer Relationship Management (CRM)
深刻度（CVSS）	6.6 警告CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:L`
KEVへの追加日	2021-11-03
米国政府機関の対応期限	2022-05-03
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-22（パストラバーサル）

何が起きた

顧客管理のシステム SAP Customer Relationship Management (CRM) に、利用者が渡したファイルの場所（パス）を十分に確かめない弱点（パストラバーサル）が見つかり、実際に悪用が確認されています。「一つ上のフォルダへ」を表す文字がそのままファイルの処理に渡されてしまいます。NVD の評価では、ネットワーク経由で攻撃できますが、管理者などの高い権限が必要です。CISA によると、ランサムウェアの攻撃での悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

CVE の記録と NVD の説明によると、SAP CRM の 7.01、7.02、7.30、7.31、7.33、7.54 が影響を受けます。これらを使っている組織が対象です。

何をすればいい

CISA は、メーカーの案内に従って更新を適用するよう求めています。CVE の記録では、SAP のセキュリティノート 2547431 が参照されています。このノートの中身はこの記事では確認できていないため、SAP の案内を確認して、修正を適用してください。公式の案内を確認し、古いバージョンが使われていないか確認してください。

やることチェックリスト

使っている SAP CRM の版を確かめる
SAP のセキュリティノート 2547431 を確かめる
SAP の修正を適用する

用語メモ

パストラバーサル用語集で見る: ファイルの場所の指定に「../」のような文字を混ぜて、本来は見られないフォルダのファイルを扱う攻撃です。
ランサムウェア用語集で見る: データを使えなくして、元に戻す代わりにお金を要求する悪いプログラムです。

次に読む

同じ製品・メーカーの脆弱性SAP NetWeaver（CVE-2025-42999）9.1 緊急CVSS v3.1SAP NetWeaver の Visual Composer で、不正なデータの読み込みからサーバーが危険にさらされる弱点です。同じ製品・メーカーの脆弱性SAP NetWeaver（CVE-2025-31324）9.8 緊急CVSS v3.1SAP NetWeaver の Visual Composer で、ログインなしに危険なファイルを置ける弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

SAP Customer Relationship Management (CRM) Path Traversal Vulnerability

概要

SAP Customer Relationship Management (CRM) contains a path traversal vulnerability that allows an attacker to exploit insufficient validation of path information provided by users.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

SAP Customer Relationship Management (CRM) のパストラバーサルの脆弱性（CVE-2018-2380）