• ひとことでSAP NetWeaver の Visual Composer で、不正なデータの読み込みからサーバーが危険にさらされる弱点です。
  • 深刻度9.1 緊急CVSS v3.1
  • まずやることVisual Composer を使っているか調べる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2025-42999
製品SAP NetWeaver
深刻度（CVSS）9.1 緊急CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
KEVへの追加日2025-05-15
米国政府機関の対応期限2025-06-05
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-502（信頼できないデータのデシリアライズ）

何が起きた

SAP NetWeaver の Visual Composer の Metadata Uploader という機能に、デシリアライズの弱点が見つかりました。高い権限を持つ利用者が、信用できない、または悪意のある内容をアップロードすると、それが読み込まれたときに、サーバーの情報が漏れたり、書き換えられたり、止められたりするおそれがあります。ネットワーク経由で、管理者などの高い権限を持つ攻撃者が悪用できるとされています。実際の悪用が確認され、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 権限を持つ利用者として入り込む → 2. 悪意のある内容をアップロードする → 3. 読み込みの処理で弱点が突かれる → 4. 情報の漏えいや書き換えのおそれがある1権限を持つ利用者として入り込む2悪意のある内容をアップロードする3読み込みの処理で弱点が突かれる4情報の漏えいや書き換えのおそれがある攻撃の流れ: 1. 権限を持つ利用者として入り込む → 2. 悪意のある内容をアップロードする → 3. 読み込みの処理で弱点が突かれる → 4. 情報の漏えいや書き換えのおそれがある1権限を持つ利用者として入り込む2悪意のある内容をアップロードする3読み込みの処理で弱点が突かれる4情報の漏えいや書き換えのおそれがある攻撃の流れ: 1. 権限を持つ利用者として入り込む → 2. 悪意のある内容をアップロードする → 3. 読み込みの処理で弱点が突かれる → 4. 情報の漏えいや書き換えのおそれがある1権限を持つ利用者として入り込む2悪意のある内容をアップロードする3読み込みの処理で弱点が突かれる4情報の漏えいや書き換えのおそれがある

誰が影響を受ける

SAP NetWeaver の Visual Composer の開発サーバーを使っている組織が対象です。CVE の記録では、VCFRAMEWORK 7.50 が影響を受けるとされています。

何をすればいい

CVE の記録では、SAP Note 3604119 が対策の情報として示されています。SAP の公式の案内（SAP Note 3604119 と SAP のセキュリティパッチの案内）を確認して、案内に従って修正を適用してください。

やることチェックリスト

  • Visual Composer を使っているか調べる
  • SAP Note 3604119 の修正を適用する
  • VCFRAMEWORK 7.50 の環境を優先して対処する

用語メモ

デシリアライズ 用語集で見る
保存や送信のために変換されたデータを、元のプログラムの形に戻す処理です。中身を確かめずに戻すと、仕込まれた命令が動くことがあります。
ランサムウェア 用語集で見る
ファイルを使えなくして、元に戻す代わりにお金を要求する悪意のあるプログラムです。
Visual Composer
SAP NetWeaver の上で、画面やアプリをプログラムを書かずに組み立てるための道具です。

次に読む

同じ製品・メーカーの脆弱性SAP NetWeaver（CVE-2025-31324）9.8 緊急CVSS v3.1SAP NetWeaver の Visual Composer で、ログインなしに危険なファイルを置ける弱点です。同じ製品・メーカーの脆弱性SAP NetWeaver（CVE-2017-12637）7.5 重要CVSS v3.1SAP NetWeaver の Java サーバーで、サーバー上の好きなファイルを読まれる弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

SAP NetWeaver Deserialization Vulnerability

概要

SAP NetWeaver Visual Composer Metadata Uploader contains a deserialization vulnerability that allows a privileged attacker to compromise the confidentiality, integrity, and availability of the host system by deserializing untrusted or malicious content.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る