Az SAP Web Dispatcher és az Internet Communication Manager CSRF-hibája az operációs rendszer kompromittálódásához vezethet (CVE-2026-89119)

Mi történt

CVE-2026-89119 egy cross-site request forgery (CSRF) típusú biztonsági hiba. A hiba az SAP Web Dispatcher és az SAP NetWeaver Application Server ABAP részét képező Internet Communication Manager egyes adminisztrációs funkcióit érinti. A CVE-bejegyzés szerint ezek az összetevők nem végeznek megfelelő kérés-ellenőrzést, ezért egy hitelesítés nélküli támadó rosszindulatú hivatkozást készíthet. Ha egy bejelentkezett rendszergazda megnyitja ezt a hivatkozást, a böngésző a rendszergazda munkamenetében nem szándékos műveleteket hajthat végre.

A CVSS 3.1-es vektorhoz tartozó CVSS-alappontszám 9,6, a besorolás pedig kritikus. A támadónak nincs szüksége hitelesítő adatokra, de el kell érnie, hogy egy rendszergazda a hivatkozásra kattintson. A CVE-bejegyzés szerint a sikeres kihasználás az alapul szolgáló operációs rendszer teljes kompromittálódásához vezethet, és nagy hatással lehet a bizalmasságra, a sértetlenségre és a rendelkezésre állásra.

A CVE-bejegyzés nem számol be nyilvános közzétételről vagy aktív kihasználásról, és a hiba nem szerepel a CISA KEV-katalógusában.

Kit érint

Az érintett verziók listája az SAP Web Dispatcher és az Internet Communication Manager alábbi kiadásait tartalmazza: WEBDISP 7.93 és 9.16, XS_ADVANCED_RUNTIME 1.00, valamint KERNEL 7.93, 9.20 és 9.21. Mivel ezek az SAP ABAP-környezetek webkiszolgálói és internetkommunikációs összetevői, az SAP Web Dispatchert, illetve a NetWeaver AS ABAP-ot az Internet Communication Managerrel együtt üzemeltető csapatoknak ellenőrizniük kell ezeket a verziókat a saját rendszerkörnyezetükben.

Mit kell most tenni

1. Kövesse nyomon az SAP biztonsági megjegyzést és az SAP Security Patch Day oldalát a frissített javítási útmutatásért. A CVE-bejegyzés jelenleg nem sorol fel javított verziót vagy kerülő megoldást.
2. Korlátozza az SAP Web Dispatcher és az Internet Communication Manager adminisztrációs funkcióinak elérését megbízható felügyeleti hálózatokra, és kerülje, hogy ezek a felületek közvetlenül elérhetők legyenek az internetről.
3. Használjon külön böngészőprofilokat az adminisztrációs munkamenetekhez, és ne nyisson meg nem megbízható hivatkozásokat vagy dokumentumokat, miközben ezekbe a konzolokba van bejelentkezve.
4. Ellenőrizze az adminisztrációs és biztonsági naplókat, hogy történt-e váratlan konfigurációmódosítás vagy operációsrendszer-változás, különös tekintettel arra az időszakra, amikor egy rendszergazda megbízhatatlan hivatkozást nyithatott meg.

A javításon túl

Bár a hiba a hálózat felől elérhető, és a CVSS 3.1 szerint nem igényel jogosultságokat, a támadónak továbbra is szüksége van arra, hogy egy rendszergazda rákattintson egy hivatkozásra. Ezért amíg az SAP nem ad ki javítást, a menedzselt kiberbiztonsági tudatossági képzés közvetlenül releváns. A Virtuális CISO szolgáltatás segíthet áttekinteni, hogy az adminisztrációs felületek honnan érhetők el, és hogy ez a kitettség valóban szükséges-e.