【CVE-2024-39598】SAPのCRMソフトウェアに重大な脆弱性、サーバサイドリクエストフォージェリの攻撃が可能に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
SAPの製品に発見されたサーバサイドリクエストフォージェリの脆弱性
SAPの脆弱性対象製品まとめ
サーバサイドのリクエストフォージェリについて
SAPの脆弱性に関する考察
参考サイト

記事の要約

SAPの製品に脆弱性が発見された
サーバサイドのリクエストフォージェリが可能
CVSS基本値7.7の重要な脆弱性

SAPの製品に発見されたサーバサイドリクエストフォージェリの脆弱性

SAPのcustomer relationship management s4fndおよびSAP CRM WebClient UIにサーバサイドのリクエストフォージェリの脆弱性が存在することが明らかになった。この脆弱性は、攻撃者が特権のないユーザーアカウントを使用してシステムに不正アクセスする可能性があるため、早急な対応が求められている。CVSSによる深刻度の基本値は7.7（重要）と評価されており、情報セキュリティ上のリスクが高いことが示唆されている。^[1]

影響を受けるシステムには、customer relationship management s4fndの102から108までのバージョンと、SAP CRM WebClient UIの701から801までのバージョンが含まれている。この脆弱性を悪用されると、攻撃者は機密情報を取得する可能性があり、組織のデータセキュリティに深刻な影響を与える恐れがある。SAPユーザーは、ベンダーが提供するアドバイザリやパッチ情報を確認し、速やかに対策を講じることが推奨される。

この脆弱性の特徴として、攻撃元区分がネットワークであり、攻撃条件の複雑さが低いことが挙げられる。また、攻撃に必要な特権レベルは低く、利用者の関与も不要とされている。影響の想定範囲に変更があり、機密性への影響が高いことから、組織は早急にセキュリティ対策を実施し、潜在的な被害を最小限に抑える必要がある。

SAPの脆弱性対象製品まとめ

製品名	影響を受けるバージョン
customer relationship management s4fnd	102, 103, 104, 105, 106, 107, 108
SAP CRM WebClient UI	701, 731, 746, 747, 748, 800, 801

サーバサイドのリクエストフォージェリについて

サーバサイドのリクエストフォージェリ（SSRF）とは、攻撃者が被害者のサーバーを悪用して、そのサーバーから他のシステムに対して不正なリクエストを送信させる攻撃手法のことを指す。主な特徴として以下のような点が挙げられる。

内部ネットワークへのアクセスが可能
ファイアウォールをバイパスできる
サーバーの認証情報を悪用できる

SAPの製品で発見された脆弱性は、このSSRF攻撃を可能にするものだ。攻撃者はこの脆弱性を悪用して、SAPシステムを介して内部ネットワークや他のサービスにアクセスし、機密情報を取得したり、さらなる攻撃の足がかりを得る可能性がある。そのため、影響を受ける可能性のあるSAP製品のユーザーは、ベンダーが提供するセキュリティパッチを適用するなど、迅速な対応が求められる。

SAPの脆弱性に関する考察

SAPの製品に発見されたサーバサイドのリクエストフォージェリの脆弱性は、企業のデータセキュリティに深刻な影響を与える可能性がある。特に、customer relationship management s4fndやSAP CRM WebClient UIは多くの企業で使用されているため、この脆弱性の影響範囲は広大だ。攻撃条件の複雑さが低く、特権レベルも低いため、攻撃者にとって比較的容易に悪用できる脆弱性であることが懸念される。

今後、この脆弱性を悪用した攻撃が増加する可能性があり、企業の機密情報や顧客データが危険にさらされる恐れがある。また、この脆弱性を利用して内部ネットワークに侵入され、さらに深刻な二次攻撃につながる可能性も考えられる。対策として、SAPユーザーは速やかにセキュリティパッチを適用するだけでなく、ネットワークセグメンテーションの強化やアクセス制御の見直しなど、多層的な防御策を講じる必要があるだろう。

長期的には、SAPのような重要なビジネスソフトウェアに対するセキュリティ監査やペネトレーションテストの頻度を増やすことが望ましい。また、開発段階からセキュリティを考慮したソフトウェア設計（セキュリティ・バイ・デザイン）の重要性が再認識される機会となるだろう。ベンダーと企業ユーザー双方が、継続的なセキュリティ強化に取り組むことで、今後同様の脆弱性の発生を防ぐことが期待される。