CVE-2026-76964: Az SAP NetWeaver AS ABAP Internet Communication Manager memóriasérülése hitelesítés nélküli kódfuttatást tesz lehetővé

Mi történt

A CVE-rekord memóriasérülést ír le az SAP NetWeaver Application Server ABAP Internet Communication Manager (ICM) összetevőjében. Az SAP NetWeaver Application Server ABAP egy belső összetevő által feldolgozott bizonyos hálózati bemeneteket nem ellenőriz kellő mértékben. Hitelesítést nem igénylő támadó a hiba kiváltásához speciálisan kialakított hálózati forgalmat küldhet. Sikeres kihasználás esetén a támadó tetszőleges kódot futtathat, és teljesen kompromittálhatja a rendszert; a bizalmasságra, a sértetlenségre és a rendelkezésre állásra gyakorolt hatás egyaránt magas.

A CVSS 3.1 vektor alapján a támadás hálózaton keresztül elérhető, alacsony támadási komplexitású, nem igényel jogosultságot és felhasználói beavatkozást, a hatókör pedig módosul. A CVE-rekord nem jelez aktív kihasználást vagy nyilvánosságra hozatalt, és a gyártó kihasználásra vonatkozó közleményét sem rögzítették.

Kit érint

Az érintett összetevő az SAP NetWeaver Application Server ABAP Internet Communication Manager (ICM) modulja. A CVE-rekord az alábbi érintett kiadásokat sorolja fel: KRNL64UC 7.53, KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 és 9.20.

Az SAP nem tett közzé javított verziót vagy kerülő megoldást. Amíg az SAP másként nem nyilatkozik, a fenti kiadások valamelyikét futtató szervezetnek az Internet Communication Managert érintettként kell kezelnie.

Mit kell most tenni

A CVE-rekord nem tartalmaz javított verziót vagy gyártói kerülő megoldást, ezért az azonnali teendő a kitettség korlátozása és a folyamatos megfigyelés.

1. Ellenőrizze, hogy az SAP ABAP alkalmazáskiszolgálókon a megnevezett kiadások egyike fut-e: KRNL64UC 7.53, KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 vagy 9.20.
2. Korlátozza az Internet Communication Manager hálózati elérését. Szüntesse meg az internetes kitettséget, és az elérhetőséget megbízható belső rendszerekre, felügyeleti hálózatokra vagy meghatározott üzleti partnerekre korlátozza.
3. Kísérje figyelemmel az ehhez a CVE-hez hivatkozott SAP biztonsági megjegyzést és az SAP Security Patch Day oldalait, hogy értesüljön a javított kiadásról vagy kerülő megoldásról.
4. Fokozza a megfigyelést az érintett SAP-gazdagépeken a váratlan parancsok, új folyamatok vagy szokatlan kimenő kapcsolatok keresésére, amíg az SAP nem tesz közzé javított verziót.

Hogyan észlelhető

A CVE-rekord nem tartalmaz gyártóspecifikus kompromittálódásra utaló jeleket vagy hosztalapú észlelési mintákat. Kezdje a kitettség ellenőrzésével: azonosítsa azokat az Internet Communication Manager-portokat, amelyek nem megbízható hálózatok felől elérhetők, és vizsgálja ki az esetleges véletlen internetes kitettséget. Amíg az SAP nem tesz közzé észlelési útmutatót, az ICM felé irányuló szokatlan hálózati forgalmat, valamint az SAP-alkalmazáskiszolgálókon jelentkező váratlan folyamat- vagy parancstevékenységet vizsgálatra okot adó jelzésként kezelje.

A javításon túl

Mivel az SAP-összetevőben egy hitelesítést nem igénylő, hálózaton elérhető memóriasérülés található, a kitettség az első, amit ki kell zárni. Virtuális CISO szolgáltatásunk (vCISO) segíthet felmérni és csökkenteni az Internet Communication Manager elérhetőségét. Ha mégis kódfuttatás történik, a kihasználást követő tevékenységet a Menedzselt kiberbiztonsági felügyelet (MDR) észleli az EDR- és SIEM-rendszerek adatai alapján. Az SAP HANA biztonság és felhőmigráció gyakorlatunk SAP-specifikus megerősítésben és a feladatok priorizálásában támogat.