SAP Gateway hozzáférés-szabályozási hibája: hitelesítés nélküli támadók belső alkalmazáskiszolgálóként léphetnek fel (CVE-2026-89103)

Mi történt

Az SAP Gateway alapértelmezett, magas jogosultságú hozzáférés-vezérlő listát (Access Control List, ACL) aktivál. Emiatt egy hálózati hozzáféréssel rendelkező külső támadót a rendszer belső alkalmazáskiszolgálóként kategorizálhat. A CVE-rekord a hibát hibás hozzáférés-szabályozásként (CWE-863) sorolja be.

Ennek következtében egy hitelesítés nélküli támadó, aki hálózati hozzáféréssel rendelkezik az SAP Gatewayhez, potenciálisan jogosulatlan műveleteket hajthat végre az alkalmazáskörnyezetben. A CVSS 3.1 vektor: hálózati, alacsony támadási komplexitás, jogosultságot nem igényel, felhasználói beavatkozást nem igényel, megváltozott hatókör, és magas hatás a bizalmasságra, a sértetlenségre és a rendelkezésre állásra (CVSS-pontszám: 10, kritikus). A CVE-rekord nem tartalmaz arra vonatkozó állítást, hogy a hibát kihasználták volna, vagy nyilvánosan nyilvánosságra hozták volna.

Kit érint

Az SAP az SAP Gatewayt érintettként sorolja fel. Az érintett verziók: KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.53, 8.04, KERNEL 7.22, 7.54 és 7.77. Mivel a támadáshoz hitelesítés nélkül csak hálózati hozzáférésre van szükség, minden olyan SAP Gatewayt kitettnek kell tekinteni, amely az internetről vagy nem megbízható hálózati szegmensből elérhető. A CVE-rekord nem sorol fel javított verziót vagy kerülő megoldást.

Mit kell most tenni

1. Elsőként korlátozza az SAP Gateway hálózati elérhetőségét: szüntesse meg az internet felőli kitettséget, helyezze a szolgáltatást VPN vagy ugrókiszolgáló mögé, és különítse el a nem megbízható zónáktól.
2. Készítsen leltárt a fenti érintett verziójú SAP Gateway-példányokról, hogy a csapat tudja, mely rendszerek tartoznak a hatókörbe.
3. Kísérje figyelemmel az SAP biztonsági közleményét és a SAP Security Patch Day oldalt az esetleges javított verzió vagy kerülő megoldás érdekében. Az SAP ehhez a CVE-hez nem tett közzé javított verziót vagy kerülő megoldást, ezért amíg nincs felsorolt javítás, tartsa fenn a hálózati korlátozásokat.

Hogyan észlelhető

A gyártó nem tett közzé kompromittálódásra utaló indikátorokat. Kezdje a hálózati kitettség felderítésével: azonosítsa az internetről vagy nem megbízható hálózati szegmensekből elérhető SAP Gateway-példányokat, és vizsgálja át a tűzfalszabályokat és a hozzáférési naplókat a váratlan forrásokból érkező csatlakozási kísérletek szempontjából.

A javításon túl

Ez egy hálózaton elérhető, hitelesítést nem igénylő probléma az SAP-környezetben, ezért amíg nincs felsorolt javítás, a kitettség kezelése a szokásosnál is fontosabb. A Virtuális CISO szolgáltatás segít megtalálni és megszüntetni az olyan kitett szolgáltatásokat, mint amilyen az internet felől elérhető SAP Gateway. Az SAP HANA biztonság és felhőmigráció az SAP-biztonsági gyakorlatunkat hozza a teljes környezet átvizsgálásába. Az Ellátási lánc védelem és harmadik felek kockázatai nyomon követi a gyártó javítási ciklusát, így a szervezet tudja, mekkora a kitettségi időablakja.