セキュリティ

SECURITY

公開：2024-09-12

【CVE-2024-34689】SAPのbusiness workflowとSAP_BASISにサーバサイドのリクエストフォージェリの脆弱性が発見、情報漏洩のリスクに注意

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• SAPのbusiness workflowとSAP_BASISに脆弱性
• サーバサイドのリクエストフォージェリの脆弱性
• 影響を受けるシステムの対策が必要

SAPのbusiness workflowとSAP_BASISにおける脆弱性の発見

SAPは、同社のbusiness workflowおよびSAP_BASISにサーバサイドのリクエストフォージェリの脆弱性が存在することを公表した。この脆弱性は、CVE-2024-34689として識別されており、CWEによる脆弱性タイプはサーバサイドのリクエストフォージェリ（CWE-918）に分類されている。NVDの評価によると、攻撃元区分はネットワークであり、攻撃条件の複雑さは低いとされている。^[1]

影響を受けるシステムは、SAPのbusiness workflowおよびSAP_BASIS 700から758までのバージョンである。この脆弱性の深刻度はCVSS v3による基本値で5.0（警告）と評価されており、攻撃に必要な特権レベルは低く、利用者の関与は不要とされている。影響の想定範囲に変更があり、機密性への影響は低いが、完全性と可用性への影響はないと評価されている。

この脆弱性により、攻撃者は情報を取得する可能性がある。対策として、ベンダーであるSAPがアドバイザリまたはパッチ情報を公開している。システム管理者は、参考情報を確認し、適切な対策を実施することが推奨される。また、National Vulnerability Database (NVD)やSAPのセキュリティパッチデイに関する情報も参照することが重要だ。

SAPの脆弱性対策まとめ

サーバサイドのリクエストフォージェリについて

サーバサイドのリクエストフォージェリ（SSRF）とは、攻撃者がサーバーに不正なリクエストを送信させ、内部ネットワークやローカルシステムにアクセスさせる脆弱性のことを指す。主な特徴として以下のような点が挙げられる。

• 内部ネットワークへの不正アクセスが可能
• サーバーの権限を利用した攻撃が行える
• ファイアウォールやセキュリティ設定をバイパスできる

SAPのbusiness workflowとSAP_BASISにおける脆弱性は、このSSRFの一種である。攻撃者はこの脆弱性を悪用することで、本来アクセスできないはずの内部リソースや機密情報にアクセスする可能性がある。そのため、影響を受けるシステムの管理者は、SAPが提供するパッチやアップデートを速やかに適用し、システムのセキュリティを強化することが重要だ。

SAPの脆弱性対応に関する考察

SAPのbusiness workflowとSAP_BASISにおける脆弱性の発見は、企業システムのセキュリティ管理の重要性を再認識させる出来事だ。特にSAPのような広く使用されているエンタープライズソフトウェアの脆弱性は、多くの組織に影響を与える可能性があり、迅速な対応が求められる。この事例から、定期的なセキュリティアップデートの重要性と、ベンダーからの情報を常に注視する必要性が浮き彫りになったと言えるだろう。

今後、このような脆弱性に対する対策として、組織はセキュリティパッチの適用プロセスを効率化し、自動化することが求められる。また、脆弱性スキャンやペネトレーションテストを定期的に実施し、潜在的な脆弱性を早期に発見することも重要だ。さらに、多層防御の考え方を採用し、単一の脆弱性が全体のセキュリティを脅かすリスクを軽減することが望ましい。

SAPには、今回のような脆弱性の発見と対応プロセスをさらに改善し、より迅速かつ効果的なセキュリティアップデートの提供を期待したい。同時に、ユーザー企業側も、セキュリティ意識を高め、パッチ適用の重要性を理解し、迅速に対応できる体制を整えることが求められる。このような取り組みが、エンタープライズソフトウェアのセキュリティ向上につながり、結果として企業のデジタルトランスフォーメーションをより安全に推進することができるだろう。

参考サイト

1. ^ JVN. 「JVNDB-2024-007675 - JVN iPedia - 脆弱性対策情報データベース」. https://jvndb.jvn.jp/ja/contents/2024/JVNDB-2024-007675.html, (参照 24-09-12).
2. SAP. https://www.sap.com/japan/index.html

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧