🇰🇷 한글 설명
SAP ECC 및 SAP S/4HANA의 IS-OIL 구성 요소 내 함수 모듈과 리포트의 프로그래밍 오류로 인해 발생합니다. 인증된 공격자가 보호되지 않은 매개변수에 임의의 운영체제 명령을 주입할 수 있으며, 이를 통해 시스템 데이터를 읽거나 수정하고 시스템을 종료할 수 있습니다.
💡 쉬운 설명
SAP 시스템의 특정 기능에 허점이 있어, 권한이 있는 사용자가 시스템을 마음대로 조종할 수 있는 명령을 내릴 수 있습니다. 공격자가 성공하면 중요한 정보를 훔치거나 시스템을 강제로 꺼버릴 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
Due to programming error in function module and report, IS-OIL component in SAP ECC and SAP S/4HANA allows an authenticated attacker to inject an arbitrary operating system command into an unprotected parameter in a common (default) extension. On successful exploitation, the attacker can read or modify the system data as well as shut down the system.
📍 영향받는 시스템
SAP ECC 및 SAP S/4HANA의 IS-OIL 구성 요소
⚔️ 공격 벡터
인증된 공격자가 보호되지 않은 매개변수를 통해 임의의 OS 명령을 주입하는 방식
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치를 적용하여 취약한 함수 모듈 및 리포트를 업데이트하십시오.
🔧 검증 코드
시스템 내 IS-OIL 구성 요소의 활성화 여부를 확인하여 해당 취약점의 잠재적 노출 범위를 파악합니다.
sapcontrol -function GetSystemInstanceDetails | grep -i 'IS-OIL'