SAP NetWeaver の認証の欠如の脆弱性（CVE-2020-6287）

何が起きた

SAP NetWeaver AS JAVA の LM Configuration Wizard（設定を行うための機能）が、重要な機能を使うときに認証（ログインの確認）をしていない弱点が見つかりました。ログインしていない攻撃者でも設定作業を実行でき、管理者ユーザーを作ることもできるため、システムの情報が漏れたり、書き換えられたり、止められたりするおそれがあります。NVD の評価では、ネットワーク経由で、権限なしに悪用できるとされています。CISA の KEV に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、SAP NetWeaver AS JAVA（LM Configuration Wizard）の 7.30、7.31、7.40、7.50 を使っている組織が対象です。

何をすればいい

CVE の記録では、SAP の公式の案内として SAP Note 2934135 が示されています。この SAP Note を確認し、修正を適用してください。CISA は、外からつながるシステムから急いで修正を当てるよう勧めています。また CISA によると、すぐに修正を当てられない場合は、LM Configuration Wizard のサービスを無効にすることで対策できます（SAP Note 2939665）。

やることチェックリスト

• SAP Note 2934135 の修正を適用する
• 自社の AS JAVA の版が 7.30〜7.50 か確認する
• すぐ直せなければ LM Configuration Wizard を無効にする

用語メモ

認証

利用者が本人であるかを、パスワードなどで確かめる仕組みです。

LM Configuration Wizard

SAP NetWeaver AS JAVA で、システムの設定作業を手順に沿って行うための機能です。

SAP Note

SAP が公開する、不具合や脆弱性の修正方法などをまとめた文書です。