Trusted Design

解説:

CVE-2025-31324は、SAP NetWeaver Visual ComposerのMetadata Uploaderコンポーネントにおける認証の欠如に起因する重大なリモートコード実行（RCE）の脆弱性です。

1. 脆弱性の概要

CVE-2025-31324は、SAP NetWeaver Visual ComposerのMetadata Uploaderコンポーネントに存在する、認証なしで悪意のあるファイルをアップロードできるリモートコード実行（RCE）の脆弱性です。この脆弱性は、適切な認証チェックが欠如しているために発生します。攻撃者は、/developmentserver/metadatauploader エンドポイントを介して、JSPウェブシェルなどの悪意のあるファイルを脆弱なシステムにアップロードすることが可能です。

1.1 影響

この脆弱性が悪用されると、攻撃者はSAPアプリケーションサーバープロセスと同じ権限で任意のコードを実行できるようになります。これにより、システムの機密性、完全性、および可用性が著しく損なわれる可能性があります。攻撃者は、基盤となるSAPオペレーティングシステムに不正アクセスし、SAPシステムデータベースを含むあらゆるSAPリソースへの完全なアクセス権を取得し、SAPアプリケーションのシャットダウンやランサムウェアの展開などの操作を実行する可能性があります。また、侵害されたシステムをネットワーク内の足がかりとして、さらに横方向に移動することも可能です。

1.2 深刻度

CVSS v3.1スコアは10.0（Critical）であり、最も深刻な脆弱性として評価されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

すべてのSAP NetWeaver 7.xxバージョンとそのすべてのサービスパック（SPS）が影響を受けます。特に、VCFRAMEWORKコンポーネントがインストールされているSAP NetWeaver Visual Composer（バージョン7.50以前）が対象となります。この脆弱性の悪用は、WindowsおよびLinuxの両方の環境で確認されています。

2.2 影響を受ける設定

SAP NetWeaver 7.xxがインストールされており、Visual Composerコンポーネントが有効になっているインスタンスが影響を受けます。Visual Composerはデフォルトではインストールされていませんが、ビジネスプロセススペシャリストがコーディングなしでアプリケーションを作成するための主要なコンポーネントとして広く利用されているため、多くのSAP環境で有効になっています。システムが脆弱かどうかは、http://host:port/nwa/sysinfo でソフトウェアコンポーネント「VISUAL COMPOSER FRAMEWORK (VCFRAMEWORK.SCA)」を確認することで判断できます。このコンポーネントが見つからない場合、そのシステムは脆弱ではないとされています。

3. 影響を受けた時の兆候

• SAP Webサーバーのアクセスログに、/developmentserver/metadatauploader APIエンドポイントへの異常なリクエストが見られる。
• 以下のディレクトリに、予期しないJSPファイル（ウェブシェル）が存在する。
  • j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\root
  • j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\work
  • j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\work\sync
• 観測されたウェブシェルには、helper.jsp や cache.jsp といった一般的な名前や、cglswdjp.jsp のようなランダムな8文字の名前のファイルが含まれることがある。
• 既知のSAPプロセスからPythonのリバースシェルコード（例: python3 -c 'import socket,subprocess,os;s=socket.'）が生成されている。
• 対象ディレクトリで、不審な拡張子（例: .jsp, .jspx, .class）を持つファイルの操作が検出される。

4. 推奨対策

4.1 本対策

• SAP Note #3594142 を適用してパッチを適用する。
• Visual Composerコンポーネントの根本的な脆弱性を排除するために、SAPセキュリティノート3604119を適用する。
• 緊急措置として、NetWeaver ASの最新バージョンに更新する。

4.2 暫定回避策（緩和策）

• /developmentserver/metadatauploader APIエンドポイントへの外部ネットワークからのアクセスを制限または禁止する。
• ウェブシェル検出のためにYARAルールを実装する。
• 公開されているSigmaルールを実装する。
• 不審なファイルを手動で隔離する。
• SAP Webサーバーのアクセスログを監視し、悪用の痕跡がないか確認する。
• 指定されたSAPサーバーフォルダ内で、予期しないJSPファイルがないか検索する。
• すべての該当ホストにInsight Agentをインストールし、不審なプロセスを可視化し、適切な検出をカバーする。

その他に解説すべき観点

• 悪用状況: この脆弱性は、ゼロデイ脆弱性として実際に悪用されていることが確認されています。
• 発見・公開日:
  • 2025年1月には、ハニーポットネットワークに対して初期の偵察とエクスプロイトのテストが観測されました。
  • 2025年3月には、セキュリティ企業によってウェブシェルが展開されるなどの侵害が報告されました。
  • SAPは2025年4月8日に回避策を公開しました。
  • SAPは2025年4月24日に、この脆弱性をCVE-2025-31324として正式に特定しました。
  • CISAは2025年4月29日に、積極的に悪用されている既知の脆弱性リストに本CVEを追加しました。

参照サイト

• Rapid Response to CVE-2025-31324: Mitigating SAP NetWeaver Visual Composer Exploitation - Palo Alto Networks Blog
• CVE-2025-31324 in SAP NetWeaver enables malicious file uploads - Zscaler, Inc.
• Tracking CVE-2025-31324: Darktrace's detection of SAP Netweaver exploitation before and after disclosure
• CVE-2025-31324 SAP Zero-Day Vulnerability | Full Threat Brief - Onapsis
• CVE-2025-31324 - SAP NetWeaver Visual Composer - Cortex Marketplace
• Active Exploitation of SAP NetWeaver Visual Composer CVE-2025-31324 | Rapid7 Blog
• Active Exploitation of CVE-2025-31324 and CVE-2025-42999 in the Wild | TXOne Networks
• CVE-2025-31324 - CVE Record
• Threat Brief: CVE-2025-31324 (Updated June 25) - Palo Alto Networks Unit 42