CVEノート

最近の脆弱性 › CVE-2025-42999

SAP NetWeaver の安全でないデシリアライズの脆弱性（CVE-2025-42999）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2025-42999
製品SAP NetWeaver
深刻度（CVSS）9.1 緊急CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
KEVへの追加日2025-05-15
米国政府機関の対応期限2025-06-05
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-502

何が起きた

SAP NetWeaver の Visual Composer の Metadata Uploader という機能に、デシリアライズの弱点が見つかりました。高い権限を持つ利用者が、信用できない、または悪意のある内容をアップロードすると、それが読み込まれたときに、サーバーの情報が漏れたり、書き換えられたり、止められたりするおそれがあります。ネットワーク経由で、管理者などの高い権限を持つ攻撃者が悪用できるとされています。実際の悪用が確認され、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 権限を持つ利用者として入り込む → 2. 悪意のある内容をアップロードする → 3. 読み込みの処理で弱点が突かれる → 4. 情報の漏えいや書き換えのおそれがある1権限を持つ利用者として入り込む2悪意のある内容をアップロードする3読み込みの処理で弱点が突かれる4情報の漏えいや書き換えのおそれがある攻撃の流れ: 1. 権限を持つ利用者として入り込む → 2. 悪意のある内容をアップロードする → 3. 読み込みの処理で弱点が突かれる → 4. 情報の漏えいや書き換えのおそれがある1権限を持つ利用者として入り込む2悪意のある内容をアップロードする3読み込みの処理で弱点が突かれる4情報の漏えいや書き換えのおそれがある

誰が影響を受ける

SAP NetWeaver の Visual Composer の開発サーバーを使っている組織が対象です。CVE の記録では、VCFRAMEWORK 7.50 が影響を受けるとされています。

何をすればいい

CVE の記録では、SAP Note 3604119 が対策の情報として示されています。SAP の公式の案内（SAP Note 3604119 と SAP のセキュリティパッチの案内）を確認して、案内に従って修正を適用してください。

やることチェックリスト

用語メモ

デシリアライズ
保存や送信のために変換されたデータを、元のプログラムの形に戻す処理です。中身を確かめずに戻すと、仕込まれた命令が動くことがあります。
ランサムウェア
ファイルを使えなくして、元に戻す代わりにお金を要求する悪意のあるプログラムです。
Visual Composer
SAP NetWeaver の上で、画面やアプリをプログラムを書かずに組み立てるための道具です。

元データ（英語・CISA KEV より）

SAP NetWeaver Deserialization Vulnerability

概要

SAP NetWeaver Visual Composer Metadata Uploader contains a deserialization vulnerability that allows a privileged attacker to compromise the confidentiality, integrity, and availability of the host system by deserializing untrusted or malicious content.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

公式情報