SAP NetWeaver ABAP OS-parancsinjektálás alacsony jogosultságú támadóknak teszi lehetővé parancsok futtatását (CVE-2026-76965)

Mi történt

A CVE-rekord hiányzó jogosultság-ellenőrzést ír le az SAP NetWeaver és az ABAP Platform által használt ABAP Application Server egyes belső funkcióinál. Az a támadó, aki már rendelkezik alacsony jogosultságú fiókkal, a hálózaton keresztül meghívhatja ezt a funkciót, és tetszőleges operációsrendszer-parancsokat futtathat az alkalmazásszervert futtató gazdagépen.

A sikeres kihasználás nem egy elszigetelt alkalmazást, hanem magát a gazdagépet veszélyezteti. A CVSS v3.1 vektor: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H – hálózatból elérhető, alacsony támadási komplexitás, alacsony jogosultsági szintet igényel, felhasználói beavatkozást nem igényel, megváltozott hatókör, magas hatás a bizalmasságra, a sértetlenségre és a rendelkezésre állásra. A pontszám 9,9, kritikus. A CWE-azonosító CWE-749.

A CVE-rekord nem rögzít ehhez a hibához kapcsolódó kihasználást vagy nyilvános közzétételt.

Kit érint

Az érintett termék az SAP NetWeaver és az ABAP Platform. A CVE-rekordban szereplő érintett verziók: KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.53, KERNEL 7.22, 7.54, 7.77 és 7.93. Ezek az értékek az ABAP alkalmazásszerver-kerneleknek felelnek meg, ezért a csapatoknak minden ABAP alkalmazásszerveren a kernelverziót kell ellenőrizniük, nem csupán az alkalmazási réteget.

Mit kell most tenni

1. Ellenőrizze, hogy az alábbi érintett SAP NetWeaver- vagy ABAP Platform-kernelverziók valamelyikét futtatja-e: KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.53, KERNEL 7.22, 7.54, 7.77 vagy 7.93.
2. Kezelje ezt kritikus, javítatlan állapotként. A CVE-rekord nem sorol fel javított verziót vagy kerülő megoldást, így egyelőre nem érhető el javítási útmutatás.
3. Korlátozza az ABAP alkalmazásszerverek hálózati elérését úgy, hogy az érintett funkciót csak megbízható belső felhasználók és rendszerek érhessék el.
4. Vizsgálja felül az alacsony jogosultságú fiókokat, és távolítsa el a szükségtelen szerepköröket vagy jogosultságokat. A kihasználáshoz alacsony jogosultságú fiók szükséges, ezért a meglévő jogosultságok csökkentése szűkíti a kitettséget.
5. Figyelje az ezeket a kerneleket futtató gazdagépeken a váratlan, operációsrendszer-szintű parancsvégrehajtásokat.
6. Kövesse az SAP Security Patch Day-t és az ezen az oldalon hivatkozott SAP Note-ot a javított kiadás érdekében. A CVE-rekord a közzététel időpontjában nem sorol fel javított verziót.

Hogyan észlelhető

A CVE-rekord nem tartalmaz a gyártótól származó, kompromittálódásra utaló jeleket (IoC). Mivel a hiba parancsinjektálást tesz lehetővé, a védelmi csapatoknak figyelniük kell az érintett gazdagépeken az SAP munkafolyamatok által elindított, váratlan operációsrendszer-szintű folyamatokra. Az SAP biztonsági auditnaplói emellett alacsony jogosultságú felhasználóktól származó szokatlan belső funkcióhívásokat is mutathatnak; ezeket az érintett gazdagép vonatkozásában vizsgálja ki.

A javításon túl

Egy SAP-környezet általában üzletileg kritikus, és ez a hiba egy alacsony jogosultságú fiókot gazdagépszintű irányítássá alakít. Ezen a riasztáson túl a valódi védelmet az jelenti, ha ismeri, mely SAP-kerneleket futtat, és milyen gyorsan tud reagálni, amikor megjelenik egy javítás. Az SAP HANA biztonsági és felhőmigrációs szolgáltatásunk közvetlenül SAP-környezeteken dolgozik, az ellátási lánc védelmével és a harmadik felekkel kapcsolatos kockázatokkal foglalkozó szolgáltatásunk pedig segít nyomon követni a szállítói javítási ciklusokat és a kitettségi időablakokat, így egy kritikus, javítatlan problémát korán észlelnek.