既知の脆弱性をうまく組み合わせれば、SAP製品への攻撃ができると、セキュリティベンダーOnapsisは警鐘を鳴らす。同社が発見した恐ろしい攻撃手法とは何か。
セキュリティベンダーOnapsisは、SAP製品の複数の脆弱(ぜいじゃく)性を組み合わせることでユーザー企業のシステムに侵入する手口を公開した。その手口とはどのようなものなのか。
2023年8月に米国で開催されたセキュリティイベント「Black Hat USA 2023」で、Onapsisセキュリティ研究員のパブロ・アルトゥーソ氏とイバン・ゲウナー氏は、両氏が見つけた攻撃の手口を説明した。攻撃に悪用している脆弱性には、共通脆弱性評価システム(CVSS:Common Vulnerability Scoring System)で「重要」や「緊急」と評価されているものが含まれるという。
アルトゥーソ氏はOnapsis最高技術責任者(CTO)のJ・P・ペレスエシェゴエン氏と共に米TechTargetの取材に応じ、攻撃の詳細を説明した。両氏によれば、脆弱性の一つは「CVE-2023-28761」だ。CVE-2023-28761はシステム統合ツール「SAP NetWeaver」の脆弱性で、悪用されれば権限なしでアプリケーションの起動が可能になる。サーバ設定を変えたり、データにアクセスしたりすることもできるという。
Onapsisは攻撃の実施に当たってCVE-2023-28761に加え、SAP独自の通信プロトコル「P4」を使った。P4はSAP NetWeaverのアプリケーションに採用されている。Onapsisによると、実際に攻撃者がP4に不正アクセスした場合は、ユーザー企業に広範囲な悪影響が出る可能性がある。Onapsisは2023年、P4の一連の脆弱性を「P4CHAINS」と名付け、その内容を公開した。今回はその一部を悪用し、不正アクセスに成功したという。
今回の攻撃にOnapsisが使った他の脆弱性は、「CVE-2023-23857」や「CVE-2023-27497」だ。CVE-2023-23857はP4に対してDoS(サービス拒否)攻撃やOSファイルの読み取りを可能にする脆弱性だ。CVSSスコアは9.9(緊急)。CVE-2023-27497はシステムのパフォーマンス監視ツール「SAP Solution Manager Diagnostics」(SMD)に対して任意のコード実行ができるようになる。CVSSスコアは10.0(緊急)。Onapsisは今回、以下の脆弱性も攻撃に使ったという。
後編は、Onapsisが見つけた攻撃を受け、SAPのユーザー企業はどのような防御策を講じるべきかを見る。
米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
お知らせ
米国TechTarget Inc.とInforma Techデジタル事業が業務提携したことが発表されました。TechTargetジャパンは従来どおり、アイティメディア(株)が運営を継続します。これからも日本企業のIT選定に役立つ情報を提供してまいります。
Metaの広告はますますAI中心に 新たなツール「最適化スコア」とは?
Metaの2025年ビジネス注力領域とAIを活用したツールをはじめとした広告ソリューションの...
マーケターの仕事はなくなる? AIが変えるソーシャルメディアの未来【後編】
AIが変えるソーシャルメディアの未来について5つの視点で考察。後編では「創作の民主化」...
日本のリテールメディアはまず店舗から 今こそ知りたい「インストア広告」の現在
今回はインストア(店舗内)広告のデジタル化という観点から、リテールメディアに注目し...