2023年8月に米国で開催されたセキュリティイベント「Black Hat USA 2023」で、Onapsisセキュリティ研究員のパブロ・アルトゥーソ氏とイバン・ゲウナー氏は、両氏が見つけた攻撃の手口を説明した。攻撃に悪用している脆弱性には、共通脆弱性評価システム（CVSS：Common Vulnerability Scoring System）で「重要」や「緊急」と評価されているものが含まれるという。

　アルトゥーソ氏はOnapsis最高技術責任者（CTO）のJ・P・ペレスエシェゴエン氏と共に米TechTargetの取材に応じ、攻撃の詳細を説明した。両氏によれば、脆弱性の一つは「CVE-2023-28761」だ。CVE-2023-28761はシステム統合ツール「SAP NetWeaver」の脆弱性で、悪用されれば権限なしでアプリケーションの起動が可能になる。サーバ設定を変えたり、データにアクセスしたりすることもできるという。

　Onapsisは攻撃の実施に当たってCVE-2023-28761に加え、SAP独自の通信プロトコル「P4」を使った。P4はSAP NetWeaverのアプリケーションに採用されている。Onapsisによると、実際に攻撃者がP4に不正アクセスした場合は、ユーザー企業に広範囲な悪影響が出る可能性がある。Onapsisは2023年、P4の一連の脆弱性を「P4CHAINS」と名付け、その内容を公開した。今回はその一部を悪用し、不正アクセスに成功したという。

　今回の攻撃にOnapsisが使った他の脆弱性は、「CVE-2023-23857」や「CVE-2023-27497」だ。CVE-2023-23857はP4に対してDoS（サービス拒否）攻撃やOSファイルの読み取りを可能にする脆弱性だ。CVSSスコアは9.9（緊急）。CVE-2023-27497はシステムのパフォーマンス監視ツール「SAP Solution Manager Diagnostics」（SMD）に対して任意のコード実行ができるようになる。CVSSスコアは10.0（緊急）。Onapsisは今回、以下の脆弱性も攻撃に使ったという。

• CVE-2023-36925
  • アプリケーションライフサイクル管理ツール「SAP Solution Manager」の脆弱性。公開サーバから非公開の標的サーバへのリクエスト（応答要求）を偽装し、標的サーバに不正アクセスする攻撃である「サーバサイドリクエストフォージェリ」（SSRF）を可能にする
• CVE-2022-41272
  • SAP NetWeaverの脆弱性。「SQLインジェクション」（正規のSQLクエリに悪意ある操作を挿入して標的のサーバで実行させる攻撃）を可能にする
• CVE-2023-24523
  • ライフサイクル管理ツール「SAP Host Agent」の脆弱性。権限昇格を可能にする

　後編は、Onapsisが見つけた攻撃を受け、SAPのユーザー企業はどのような防御策を講じるべきかを見る。