Trusted Design

CVE-2016-3976 の詳細

CVEの情報

説明:
Directory traversal vulnerability in SAP NetWeaver AS Java 7.1 through 7.5 allows remote attackers to read arbitrary files via a ..\ (dot dot backslash) in the fileName parameter to CrashFileDownloadServlet, aka SAP Security Note 2234971.

CVE更新日: 2016-04-07 23:59:10.797000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.472520000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2016-3976について、以下の観点で解説します。

1. 脆弱性の概要

SAP NetWeaver AS Java に存在するディレクトリトラバーサルの脆弱性です。CrashFileDownloadServletコンポーネントのfileNameパラメータに..\ (ドットドットバックスラッシュ) を含む細工された値を渡すことで、リモートの攻撃者が任意のファイルを読み取ることが可能になります。この脆弱性は、SAP Security Note 2234971としても知られています。

1.1 影響

リモートの攻撃者により、システム上の任意のファイルを読み取られる可能性があります。これにより、機密情報が漏洩する危険性があります。

1.2 深刻度

  • CVSS v3.1 基本評価値: 7.5 (High/重要)
    • 攻撃元区分: ネットワーク (AV:N)
    • 攻撃条件の複雑さ: 低 (AC:L)
    • 攻撃に必要な特権レベル: 不要 (PR:N)
    • 利用者の関与: 不要 (UI:N)
    • 影響の想定範囲: 変更なし (S:U)
    • 機密性への影響(C): 高 (C:H)
    • 完全性への影響(I): なし (I:N)
    • 可用性への影響(A): なし (A:N)
  • CVSS v2.0 基本評価値: 5.0 (Medium/警告)

この脆弱性は、CISAの既知の悪用されている脆弱性（KEV）カタログに登録されており、実際に攻撃で悪用された証拠があることを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はSAP NetWeaver AS Javaプラットフォーム自体に存在するため、特定のOSバージョンが影響を受けるわけではありません。

2.2 影響を受ける設定

  • SAP NetWeaver AS Java 7.1 から 7.5

3. 影響を受けた時の兆候

影響を受けた際の具体的な兆候（Indicators of Compromise: IoC）に関する事実は、提供された情報からは不明です。

4. 推奨対策

4.1 本対策

  • ベンダーの指示に従ってアップデートを適用してください。SAP Security Note 2234971を参照してください。
  • SAP NetWeaver Application Server Java を最新バージョンにアップグレードしてください。

4.2 暫定回避策（緩和策）

この脆弱性に対する具体的な暫定回避策（緩和策）は、提供された情報からは不明です。

5. 他に解説すべき観点

  • CWE-22 (Path Traversal): この脆弱性は、不適切なパス名の制限（ディレクトリトラバーサル）として分類されており、CWE-22に該当します。
  • 実世界での悪用 (Exploited In The Wild): この脆弱性は、CISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、実際の標的に対する攻撃で悪用されたことが確認されています。これは、脆弱性の優先順位付けにおいてCVSSスコア単独よりも強力なシグナルとなります。
  • EPSSスコア: Exploitation Prediction Scoring System (EPSS) スコアは47.252%（99パーセンタイル）と高く、今後30日以内に悪用される可能性が高いと推定されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る