SAP製品を狙った“深刻な手口”が判明 複数ツールの脆弱性を悪用か脆弱性「組み合わせ」でSAP攻撃【前編】

既知の脆弱性をうまく組み合わせれば、SAP製品への攻撃ができると、セキュリティベンダーOnapsisは警鐘を鳴らす。同社が発見した恐ろしい攻撃手法とは何か。

2023年10月04日 05時00分 公開
[Arielle WaldmanTechTarget]

関連キーワード

SAP | 脆弱性 | セキュリティリスク


 セキュリティベンダーOnapsisは、SAP製品の複数の脆弱(ぜいじゃく)性を組み合わせることでユーザー企業のシステムに侵入する手口を公開した。その手口とはどのようなものなのか。

Onapsisが「実演」した攻撃シナリオ 要注意の脆弱性とは?

 2023年8月に米国で開催されたセキュリティイベント「Black Hat USA 2023」で、Onapsisセキュリティ研究員のパブロ・アルトゥーソ氏とイバン・ゲウナー氏は、両氏が見つけた攻撃の手口を説明した。攻撃に悪用している脆弱性には、共通脆弱性評価システム(CVSS:Common Vulnerability Scoring System)で「重要」や「緊急」と評価されているものが含まれるという。

 アルトゥーソ氏はOnapsis最高技術責任者(CTO)のJ・P・ペレスエシェゴエン氏と共に米TechTargetの取材に応じ、攻撃の詳細を説明した。両氏によれば、脆弱性の一つは「CVE-2023-28761」だ。CVE-2023-28761はシステム統合ツール「SAP NetWeaver」の脆弱性で、悪用されれば権限なしでアプリケーションの起動が可能になる。サーバ設定を変えたり、データにアクセスしたりすることもできるという。

 Onapsisは攻撃の実施に当たってCVE-2023-28761に加え、SAP独自の通信プロトコル「P4」を使った。P4はSAP NetWeaverのアプリケーションに採用されている。Onapsisによると、実際に攻撃者がP4に不正アクセスした場合は、ユーザー企業に広範囲な悪影響が出る可能性がある。Onapsisは2023年、P4の一連の脆弱性を「P4CHAINS」と名付け、その内容を公開した。今回はその一部を悪用し、不正アクセスに成功したという。

 今回の攻撃にOnapsisが使った他の脆弱性は、「CVE-2023-23857」や「CVE-2023-27497」だ。CVE-2023-23857はP4に対してDoS(サービス拒否)攻撃やOSファイルの読み取りを可能にする脆弱性だ。CVSSスコアは9.9(緊急)。CVE-2023-27497はシステムのパフォーマンス監視ツール「SAP Solution Manager Diagnostics」(SMD)に対して任意のコード実行ができるようになる。CVSSスコアは10.0(緊急)。Onapsisは今回、以下の脆弱性も攻撃に使ったという。

  • CVE-2023-36925
    • アプリケーションライフサイクル管理ツール「SAP Solution Manager」の脆弱性。公開サーバから非公開の標的サーバへのリクエスト(応答要求)を偽装し、標的サーバに不正アクセスする攻撃である「サーバサイドリクエストフォージェリ」(SSRF)を可能にする
  • CVE-2022-41272
    • SAP NetWeaverの脆弱性。「SQLインジェクション」(正規のSQLクエリに悪意ある操作を挿入して標的のサーバで実行させる攻撃)を可能にする
  • CVE-2023-24523
    • ライフサイクル管理ツール「SAP Host Agent」の脆弱性。権限昇格を可能にする

 後編は、Onapsisが見つけた攻撃を受け、SAPのユーザー企業はどのような防御策を講じるべきかを見る。

TechTarget発 先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

ITmedia マーケティング新着記事

news158.png

売れるネット広告社、「売れるD2Cつくーる」にLP自動生成機能を追加
売れるネット広告社が「売れるD2Cつくーる」に、新たに「ランディングページ自動生成(AI...

news132.jpg

「Apple炎上」から何を学ぶか?(無料eBook)
Appleが新しい「iPad Pro」の広告用に公開した「Crush!」が世界中で大炎上したのは記憶に...

news105.jpg

Web担当者を悩ませる「フォーム営業」をブロック 「ヘルプドッグフォーム」に新機能
ノーコードのフォーム作成管理システム「ヘルプドッグフォーム」が「フォーム営業ブロッ...