Trusted DesignCVE-2018-2380 の詳細
CVEの情報
説明:
SAP CRM, 7.01, 7.02,7.30, 7.31, 7.33, 7.54, allows an attacker to exploit insufficient validation of path information provided by users, thus characters representing "traverse to parent directory" are passed through to the file APIs.
CVE更新日: 2018-03-01 17:29:00.413000
CVSSバージョン: 3.1
CVSSスコア: 6.6
KEVの情報
KEV更新日: 2021-11-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.289340000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: medium
Automatable: False
CVE-2018-2380について、以下の観点で解説します。
1. 脆弱性の概要
SAP CRMに存在するパストラバーサル（ディレクトリトラバーサル）の脆弱性です。攻撃者は、ユーザーが提供するパス情報に対する検証の不備を悪用し、「親ディレクトリへのトラバース」を表す文字（例:
../）をファイルAPIに渡す可能性があります。これにより、システム上の任意のファイルにアクセスできる可能性があります。1.1 影響
この脆弱性が悪用された場合、情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。 このCVEは、CISAの既知の悪用された脆弱性カタログに掲載されており、実際に悪用される可能性が高いことを示唆しています。
1.2 深刻度
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:L2. 対象となる環境
2.1 影響を受けるOSバージョン
特定のOSバージョンは明示されていません。
2.2 影響を受ける設定
以下のSAP Customer Relationship Management (CRM) のバージョンが影響を受けます。
3. 影響を受けた時の兆候
不明
4. 推奨対策
4.1 本対策
ベンダーであるSAPより正式な対策が公開されています。ベンダー情報を参照して適切なセキュリティパッチを適用してください。 関連するベンダー情報として「SAP Security Patch Day (Blog): February 2018 (2547431)」が挙げられています。
4.2 暫定回避策（緩和策）
不明
他に解説すべき観点
参照したサイト