SAP Multiple Products の脆弱性（CVE-2022-22536）

何が起きた

SAP NetWeaver Application Server ABAP、SAP NetWeaver Application Server Java、ABAP Platform、SAP Content Server、SAP Web Dispatcher に、HTTP リクエストスマグリング（通信の区切りの解釈のずれを突いて、別のリクエストを紛れ込ませる攻撃）ができる弱点が見つかりました。ログインしていない攻撃者が、ほかの利用者のリクエストの前に任意のデータを付け加えられます。これにより、その利用者になりすまして機能を実行したり、途中の Web キャッシュに偽の内容を覚えさせたりできるおそれがあり、攻撃が成功すると、システムの機密性・完全性・可用性が完全に損なわれるおそれがあると説明されています。NVD の評価では、離れた場所から、ログインや利用者の操作なしに悪用できるとされ、CISA の KEV にも載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

SAP NetWeaver、ABAP Platform、SAP Web Dispatcher、SAP Content Server 7.53 を使っている組織が対象です。CVE の記録では、カーネルの 7.22、7.49、7.53、7.77、7.81、7.85、7.86、7.87、8.04 などが影響を受けるとされています。

何をすればいい

CVE の記録で参照されている SAP Note 3123396 に従って、修正を適用してください。SAP Note は SAP のサポートサイトにログインして読む必要があります。あわせて、SAP の公式の案内を確認してください。

やることチェックリスト

• SAP Note 3123396 の修正を適用する
• SAP Web Dispatcher のバージョンを確かめる
• SAP Content Server 7.53 に修正を当てる

用語メモ

HTTP リクエストスマグリング

サーバーどうしで通信の区切りの解釈がずれることを突き、別のリクエストを紛れ込ませる攻撃です。

Web キャッシュ

一度取得した Web ページを一時的に保存し、次から速く返すための仕組みです。

SAP Note

SAP が製品の不具合や修正方法を案内するための文書です。