SAP NetWeaver Knowledge Management (XML Forms) kódinjektálási sérülékenysége tetszőleges kódfuttatást tehet lehetővé (CVE-2026-109803)

Mi történt

Az SAP NetWeaver Knowledge Management (XML Forms) érintett funkciója nem korlátozza kellő mértékben, hogy mely XSL-transzformációk választhatók ki és dolgozhatók fel. A már hitelesített, a funkcióhoz hozzáféréssel rendelkező támadó elérheti, hogy a rendszer jogosulatlan XSL-transzformációt dolgozzon fel. Ez bizonyos feltételek mellett tetszőleges kódfuttatáshoz vezethet az alkalmazás környezetében, és közvetlen hatással van a bizalmasságra, a sértetlenségre és a rendelkezésre állásra. A hiba a CWE-94 kategóriába, kódinjektálásként van besorolva.

A CVSS 3.1 szerinti pontszám 9,9, kritikus. A sérülékenység a hálózaton keresztül érhető el, mindössze alacsony jogosultságú hitelesített felhasználót igényel, nem igényel felhasználói beavatkozást, hatóköre pedig megváltozik. Ez azt jelenti, hogy a kihasználás átterjedhet a közvetlenül érintett összetevőből a tágabb alkalmazási környezetbe, nem csupán a sérülékeny funkciót érinti.

A CVE-rekord nem jelzi, hogy a sérülékenységet nyilvánosan közzétették vagy kihasználták volna.

Kit érint

Az érintett termékként az SAP NetWeaver Knowledge Management (XML Forms) KMC-CM 7.50 verziója szerepel. A CVE-rekord nem sorol fel más érintett verziót. A kitettség elsősorban ott releváns, ahol az XML Forms funkció hitelesített felhasználók számára elérhető. A szervezeteknek ellenőrizniük kell, hogy az összetevő megtalálható-e a környezetükben, és át kell tekinteniük, hogy mely szerepkörök férhetnek hozzá.

Mit kell most tenni

1. Ellenőrizze, hogy a KMC-CM 7.50 verzió és az XML Forms összetevő megtalálható-e a környezetben, és azonosítsa, mely felhasználók vagy szerepkörök férhetnek hozzá.
2. Korlátozza az érintett funkcióhoz való hozzáférést a megbízható felhasználók lehető legszűkebb körére, és ahol lehetséges, távolítsa el minden kívülről elérhető alkalmazásból.
3. Javított verzió vagy gyártói kerülő megoldás egyelőre nem szerepel. Kísérje figyelemmel az SAP Security Patch Day-oldalt és az ezen az oldalon hivatkozott SAP biztonsági közleményt, és a gyártói útmutatás megjelenésekor alkalmazza azt.
4. Amíg a kitettség fennáll, vizsgálja felül az érintett funkcióhoz kapcsolódó jogosultságokat és hozzáféréseket.

A javításon túl

Mivel a sérülékenység hálózaton keresztül elérhető, de hitelesített munkamenetet igényel, az azonnali védelmi intézkedés a hozzáférések felülvizsgálata. Az ezt követően bekövetkező kódfuttatás a kihasználás utáni tevékenység, amelyet a Menedzselt kiberbiztonsági felügyelet (MDR) figyel. A Bevezetési és felmérési szolgáltatások tesztelhetik az XML Forms kitettséget, és megerősíthetik annak védelmét, az SAP HANA biztonság és felhőmigráció pedig áttekintheti a kapcsolódó SAP-jogosultsági modellt, hogy kevesebb szerepkör érhesse el az összetevőt.