Trusted DesignCVE-2021-38163 の詳細
CVEの情報
説明:
SAP NetWeaver (Visual Composer 7.0 RT) versions - 7.30, 7.31, 7.40, 7.50, without restriction, an attacker authenticated as a non-administrative user can upload a malicious file over a network and trigger its processing, which is capable of running operating system commands with the privilege of the Java Server process. These commands can be used to read or modify any information on the server or shut the server down making it unavailable.
CVE更新日: 2021-09-14 12:15:10.890000
CVSSバージョン: 3.1
CVSSスコア: 9.9
KEVの情報
KEV更新日: 2022-06-09
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.368980000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2021-38163は、SAP NetWeaver環境に影響を与える深刻な脆弱性です。以下にその詳細を解説します。
1. 脆弱性の概要
CVE-2021-38163は、SAP NetWeaver Visual Composer 7.0 RTおよびSAP NetWeaver Application Server (AS) Javaにおける、認証された非管理者ユーザーが悪意のあるファイルをアップロードし、任意のコードを実行できるパス・トラバーサルの脆弱性です。この脆弱性はCWE-22 (Path Traversal) に分類されます。
1.1 影響 攻撃が成功すると、Javaサーバープロセスと同じ権限でオペレーティングシステムコマンドが実行され、システム全体が侵害される可能性があります。これにより、機密情報の漏洩（SAP設定ファイルへのアクセス）やサービス拒否（悪意のあるファイルアップロードによるサービス停止）も引き起こされる可能性があります。
1.2 深刻度 CVSSv3の基本スコアは8.8 (High) であり、高い深刻度と評価されています。米国サイバーセキュリティ・インフラセキュリティ庁 (CISA) の既知の悪用されている脆弱性（KEV）カタログにも追加されており、実環境での活発な悪用が確認されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン この脆弱性は特定のOSバージョンではなく、SAP NetWeaverの以下の製品およびバージョンに影響を与えます。 * SAP NetWeaver Visual Composer 7.0 RT * SAP NetWeaver Application Server (AS) Java * SAP NetWeaver 7.30 * SAP NetWeaver 7.31 * SAP NetWeaver 7.40 * SAP NetWeaver 7.50 * 2021年10月のセキュリティパッチ適用前のバージョン
2.2 影響を受ける設定 * Visual Composerコンポーネント、特にVisual Composer Migration Service (
com.sap.visualcomposer.VCParMigrator) が展開され、アクセス可能な状態である場合。 * 一部の構成では、セッション管理の不備を利用して権限昇格が発生する可能性があります。3. 影響を受けた時の兆候
以下のような兆候が見られる場合があります。 * Visual Composerエンドポイントに対する、パス・トラバーサルシーケンス（例：
../やエンコードされた%2e%2e%2fなど）を含む不審なファイルアップロード要求。 * SAP NetWeaverサーバー上の通常のアップロード場所ではないディレクトリに、予期しないファイルが出現する。 * Javaサーバープロセスからコマンド実行の証拠（例：シェル起動やシステムユーティリティの実行）。 * ファイルアップロードイベント後に、SAP NetWeaverサーバーから外部への異常なネットワークアクティビティ。4. 推奨対策
4.1 本対策 * SAP Note #3084487（Visual Composer向け）およびSAP Note #3089838（AS Java向け）で参照されているセキュリティパッチを速やかに適用してください。 * ベンダーの指示に従い、2021年10月のSAPセキュリティパッチを適用してください。
4.2 暫定回避策（緩和策） パッチを直ちに適用できない場合は、以下の緩和策を検討してください。 * Visual Composerコンポーネントの展開の必要性を確認し、ビジネス上不要であれば完全に無効化することを検討してください。 * Visual Composerへのアクセス権限を持つユーザーアカウントを監査し、不要な権限を削除してください。 * SAP NetWeaverサーバーへのアクセスを信頼されていないネットワークから制限するために、ネットワークセグメンテーションを導入してください。 * Webアプリケーションファイアウォール (WAF) ルールを導入し、Visual Composerエンドポイントをターゲットとしたパス・トラバーサルパターンを含むリクエストをブロックしてください。 * ファイアウォールルールを使用して、SAP NetWeaverシステムへのネットワークアクセスを信頼できるIPアドレスのみに制限してください。 * パッチが適用されるまで、Visual Composer機能に対して追加の認証制御またはアクセス制限を実装してください。 *
/irj/servlet/prt/portal/prtroot/com.sap.visualcomposer.VCParMigratorへのアクセスを制限してください。参照元