Trusted Design

CVE-2020-6287 の詳細

CVEの情報

説明:
SAP NetWeaver AS JAVA (LM Configuration Wizard), versions - 7.30, 7.31, 7.40, 7.50, does not perform an authentication check which allows an attacker without prior authentication to execute configuration tasks to perform critical actions against the SAP Java system, including the ability to create an administrative user, and therefore compromising Confidentiality, Integrity and Availability of the system, leading to Missing Authentication Check.

CVE更新日: 2020-07-14 13:15:13

CVSSバージョン: 3.1

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.947190000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2020-6287は、SAP NetWeaver Application Server Java (AS Java) に存在する極めて重大な脆弱性です。この脆弱性は「RECON (Remotely Exploitable Code On NetWeaver)」とも呼ばれています。

1. 脆弱性の概要

この脆弱性は、SAP NetWeaver AS JavaのLM Configuration Wizardコンポーネントにおける認証チェックの不備に起因します。 認証されていない攻撃者が、認証なしに設定タスクを実行できる可能性があります。

1.1 影響

この脆弱性が悪用されると、認証されていない遠隔の第三者が管理者権限を持つユーザーアカウントをSAPシステム内に作成できます。 これにより、システムの機密性、完全性、可用性が完全に侵害される可能性があります。

攻撃者は以下のことが可能になります。

  • 従業員、顧客、サプライヤーの個人識別情報 (PII) の窃取。
  • 財務記録の読み取り、変更、削除。
  • 銀行口座情報の変更。
  • 購入プロセスの管理。
  • データの破損やシステム停止による運用妨害。
  • オペレーティングシステムコマンドの実行による無制限な操作。
  • ログやその他のファイルの削除または変更による痕跡の隠蔽。

攻撃はネットワーク経由で実行され、ユーザーの操作や事前認証は不要です。

1.2 深刻度

この脆弱性のCVSSv3スコアは10.0であり、最高レベルの「緊急 (Critical)」に分類されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、特定のオペレーティングシステムやデータベースに依存しません。 SAP NetWeaver AS Javaアプリケーション自体に存在する脆弱性です。

2.2 影響を受ける設定

SAP NetWeaver Application Server Java (AS Java) の以下のバージョンが影響を受けます。

  • 7.30
  • 7.31
  • 7.40
  • 7.50

これらのNetWeaverバージョン上で稼働する、以下のSAP Javaベースのソリューション（ただし、これらに限定されない）も影響を受けます。

  • SAP Enterprise Resource Planning
  • SAP Product Lifecycle Management
  • SAP Customer Relationship Management
  • SAP Supply Chain Management
  • SAP Supplier Relationship Management
  • SAP NetWeaver Business Warehouse
  • SAP Business Intelligence
  • SAP NetWeaver Mobile Infrastructure
  • SAP Enterprise Portal
  • SAP Process Orchestration/Process Integration
  • SAP Solution Manager

この脆弱性は、SAPアプリケーションでデフォルトで存在します。

3. 影響を受けた時の兆候

即座にパッチを適用できない場合、CISAはSAP NetWeaver ASにおける異常なアクティビティを綿密に監視することを強く推奨しています。 具体的な兆候としては、不審な管理者ユーザーの作成、システム設定の不正な変更、あるいは予期しないシステム動作などが挙げられます。

4. 推奨対策

4.1 本対策

SAPが提供するパッチを直ちに適用することが推奨されます。 詳細については、SAPセキュリティノート#2934135を参照してください。 特に、インターネットに接続されているシステムは、内部システムよりもリスクが高いため、優先してパッチを適用してください。

4.2 暫定回避策（緩和策）

パッチの適用がすぐにできない場合、LM Configuration Wizardサービスを無効にすることで脆弱性を緩和できます。 これに関する詳細はSAPセキュリティノート#2939665を参照してください。

他に解説すべき観点

  • 悪用状況: パッチが公開されてからわずか72時間後には、信頼性の高いエクスプロイトコード（PoC）がオンラインで公開され、容易に悪用される状況となりました。
  • 広範な影響: 世界中の多くのSAP顧客（推定4万社）が影響を受ける可能性があり、その影響は広範囲に及びます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る