CVE-2025-31324 ज़ीरो-डे SAP भेद्यता और समझौता आकलन उपकरण

Onapsis और Mandiant द्वारा संयुक्त रिलीज़

Onapsis और Mandiant ने SAP ग्राहकों को CVE-2025-31324 और CVE-2025-42999 से संबंधित संभावित समझौते की पहचान करने में सहायता करने के लिए एक ओपन-सोर्स उपकरण जारी करने हेतु सहयोग किया है, जो SAP NetWeaver Java प्रणालियों में एक गंभीर 0-day भेद्यता है।

यह उपकरण संभावित रूप से प्रभावित वातावरणों तक पहुँच रखने वाले सिस्टम प्रशासकों द्वारा स्थानीय, व्हाइट-बॉक्स निष्पादन के लिए अभिप्रेत है। यह भेद्यता आकलन, सरल समझौता आकलन और कलाकृति संग्रह का समर्थन करता है।

विशेषताएँ

यह उपकरण वर्तमान में निम्नलिखित कार्यक्षमता का समर्थन करता है:

• पता लगाता है कि क्या सिस्टम CVE-2025-31324 और CVE-2025-42999 के प्रति संवेदनशील है
• ज्ञात समझौता संकेतकों (IOCs) की पहचान करता है
• ज्ञात शोषण पथों में अज्ञात वेब-निष्पादन योग्य फ़ाइलों की स्कैन करता है
• भविष्य के फोरेंसिक विश्लेषण के लिए एक मैनिफ़ेस्ट के साथ संदिग्ध फ़ाइलों को एक संरचित ZIP संग्रह में एकत्र करता है
• संभावित शोषण और शोषण-पश्चात गतिविधि के लिए HTTP एक्सेस लॉग का विश्लेषण करता है
• शोषण गतिविधि के लिए JAVA डिफ़ॉल्ट ट्रेस लॉग का विश्लेषण करता है
• CSV में मेल खाती प्रतिक्रियाओं के लिए लॉग प्रविष्टियाँ निर्यात करता है

LICENSE INFORMATION: यह उपकरण Apache 2.0 ओपन सोर्स लाइसेंस के अंतर्गत जारी किया गया है। कृपया संलग्न लाइसेंस जानकारी देखें।

अस्वीकरण: यह उपकरण CVE-2025-31324 और CVE-2025-42999 के सक्रिय शोषण से संबंधित तत्काल जाँच और प्रतिक्रिया प्रयासों का समर्थन करने के लिए विकसित किया गया था। 6 जून, 2025 तक, यह उपकरण अब सक्रिय विकास या निगरानी में नहीं है। यह भविष्य में डिबगिंग और संदर्भ उद्देश्यों के लिए उपलब्ध रहता है; हालाँकि, इसे आगे कोई अद्यतन, संवर्द्धन या निरंतर समर्थन प्राप्त नहीं होगा। उपयोगकर्ताओं को अपनी वर्तमान आवश्यकताओं के आधार पर इसकी प्रयोज्यता का मूल्यांकन करना चाहिए और इसे अपने विवेक से उपयोग करना चाहिए।

यह उपकरण स्क्रिप्ट निष्पादित करने वाले उपयोगकर्ता की अनुमतियों के साथ लाइव OS में चल रही भेद्यता और IOC जानकारी की जाँच को स्वचालित करता है। यह फोरेंसिक विश्लेषण या उन्नत घटना प्रतिक्रिया का विकल्प नहीं है। परिष्कृत हमलावर अक्सर रूटकिट तैनात करते हुए और पहचान से बचने की तकनीकों का लाभ उठाते हुए अपनी घुसपैठ के साक्ष्य साफ कर देते हैं।

यह उपकरण यथास्थिति (as-is), बिना किसी वारंटी या दायित्व के प्रदान किया जाता है। अपने जोखिम पर उपयोग करें।

स्थापना और पूर्वापेक्षाएँ

स्क्रिप्ट्स Python 3 में विकसित की गई हैं और आपको निम्नलिखित निर्भरताएँ स्थापित करने की आवश्यकता है:

python3 -m venv .venv 
. .venv/bin/activate
pip install -r requirements.txt

उपयोग

निर्भरताएँ स्थापित करने के बाद, आप स्क्रिप्ट चलाने और कमांड लाइन से सहायता प्राप्त करने के लिए Python का उपयोग कर सकते हैं।

# वाक्यविन्यास: python3 <tool_name>.py <path> [--single] [--offline]

स्कैन पैरामीटर:

• <path> --- उस SAP अनुप्रयोग फ़ाइल सिस्टम की रूट निर्देशिका को संदर्भित करता है जिसे आप स्कैन करना चाहते हैं। यह SAP सिस्टम का आधार होना चाहिए, या तो माउंटेड बैकअप से या लाइव वातावरण से।
• --single --- एक व्यक्तिगत SID/इंस्टेंस निर्देशिका के लिए स्कैन चलाएँ (रूट या आधार SAP निर्देशिका नहीं जिसमें कई सिस्टम या इंस्टेंस हों)
• --offline --- इंटरनेट कनेक्शन के बिना चलाएँ (GitHub API के विरुद्ध अपग्रेड की जाँच नहीं)

कमांड लाइन विकल्पों और फ़्लैग्स की पूरी सूची के लिए --help पैरामीटर का उपयोग करें।

[!IMPORTANT] यह उपकरण SAP Security Note 3593336 में निर्दिष्ट JAVA सर्वर फ़ाइल सिस्टम के अंतर्गत फ़ाइलों की स्कैन करता है:

• C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\root
• C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\work
• C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\work\sync

यदि दिया गया पथ एक रूट लाइव फ़ाइल-सिस्टम है (उदाहरण के लिए / या C:\), तो उपकरण /usr/sap मानक SAP स्थापना निर्देशिका की अपेक्षा करेगा। फिर उपकरण डिफ़ॉल्ट रूप से सभी <SID>/<INSTANCE>/ उप-निर्देशिकाओं को स्कैन करेगा (वाइल्डकार्ड का उपयोग करके)।

यदि आंशिक स्कैन कर रहे हैं, तो --single का उपयोग करें और उस इंस्टेंस फ़ोल्डर का पूर्ण पथ निर्दिष्ट करें जिसमें j2ee SAP Java निर्देशिका है।

[!CAUTION] यह डिज़ाइन सभी SID/इंस्टेंस में सभी संभावित संदिग्ध फ़ाइलों को स्कैन करने के लिए है, जबकि परिचित फ़ाइलों की गलत पहचान से बचा जाता है। इस मानक फ़ोल्डर संरचना के बाहर कोई भी फ़ाइल पहचानी नहीं जाएगी, और यदि j2ee उप-निर्देशिका नहीं मिलती है तो एक त्रुटि उठाई जाएगी।

कंपोनेंट मैनिफ़ेस्ट भी j2ee/cluster/apps/sap.com/devserver_metadataupload_ear/ मानक उप-निर्देशिका में होने की अपेक्षा की जाती है। यदि नहीं मिलता है, तो इसका विश्लेषण संवेदनशील बिना-पैच वाले संस्करणों के विरुद्ध नहीं किया जाएगा।

अपेक्षित लॉग पथ j2ee/cluster/<SERVER>/log/system/httpaccess/ है, जिसमें SAP मालिकाना लॉग प्रारूप के लिए responses नाम और trc एक्सटेंशन वाली फ़ाइलें हैं। सामान्य लॉग प्रारूप (Common Log Format) फ़ाइलों के लिए -clf प्रत्यय अपेक्षित है। यदि नहीं मिलता है, तो एक त्रुटि/चेतावनी संदेश उठाया जाएगा।

उपकरण आउटपुट

लिनक्स उदाहरण 1

/mnt/sapserver पर माउंटेड फ़ाइल सिस्टम (कंपोनेंट संवेदनशील, SID J00 के लिए एकल इंस्टेंस स्कैन):

python3 onapsis-mandiant-CVE-2025-31324-vuln-compromise-assessment.py /mnt/sapserver/usr/sap/SID/J00 --single