redrays-io/cve-2022-39802[CVE-2022-39802] SAP Manufacturing Execution におけるファイルパス・トラバーサル脆弱性
リスク：CRITICAL
影響を受けるバージョン：
SAP MFG EXECUTION CORE 15.1
SAP MFG EXECUTION CORE 15.2
SAP MFG EXECUTION CORE 15.3
ベンダーURL：https://sap.com
バグ：ファイルパス横断の脆弱性
報告日：2022年9月
公開アドバイザリ発行日：2022年10月12日
参照：SAP Security Note 3242933
作成者：RedRays R&D
アドバイザリ情報 タイトル：3242933 – [CVE-2022-39802] SAP Manufacturing Execution におけるファイルパス横断の脆弱性 アドバイザリ：[RedRays-22-031]
リモートからの悪用可能性：あり ローカルからの悪用可能性：なし
CVSS情報 CVSS v3 基本スコア：9.9 / 10（AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N）
CVSS評価が9.9である、SAP Security Note #3242933で修正された脆弱性は、SAP Manufacturing Executionに影響を与え、重要と見なされます。
このデータを問い合わせるために使用されたURLには、リモートサーバー上で無制限のディレクトリブラウジングを可能にするように変更可能なファイルパス引数が含まれていました。NetWeaverプロセスまたはサービスを実行しているOSユーザーは、各ディレクトリに含まれるファイルにアクセスできた可能性があります。パッチのコード修正は、ルートを内部で処理します。これにより、値がクエリ文字列として動的に送信されるのを防ぎます。CVSSスコア9.9の場合、攻撃中にアクセスされる情報の種類によって、機密性、完全性、可用性への影響は非常に大きくなる可能性があります。
SAPは、機密データをOSユーザーが利用できるファイルシステムから削除し、OSユーザーの不要なファイルパスへのアクセスを制限する一時的な修正を推奨しています。
PoCは2023年1月に公開予定です。
脆弱性のシグネチャはRedRays Security Platformで入手可能です。 RedRays Advisory
RedRaysの主な目標は、技術面とビジネス面の両方におけるセキュリティギャップを縮小することです。同社は、SAP、Oracle、MicrosoftのERPシステムをサイバー攻撃や内部不正から調査・保護するソリューションを提供しています。
通常、当社の顧客は大規模な組織やマネージドサービスプロバイダーであり、世界中の広範なSAP環境におけるセキュリティのアクティブな監視と管理を必要としています。
同社の能力は、主要な企業アプリケーションの脆弱性研究と分析を専門とするRedRaysの研究部門に基づいています。SAP、Oracle、Microsoft Dynamics、IBMなど、主要なソフトウェア企業から数多くの賞を受賞しています。
RedRaysの専門家は、世界中の主要な国際セキュリティ会議で講演、発表、トレーニングを依頼されています。
所在地：カサブランカ、モロッコ
電話：(+32)489-16-78-85