🇰🇷 한글 설명
SAP S/4HANA의 Create Single Payment 애플리케이션에서 XML 파일을 첨부 파일로 업로드할 수 있는 취약점이 발견되었습니다. 공격자가 업로드된 XML 파일을 클릭하도록 유도하면, XML 엔티티 루프(Entity Loops)로 인해 브라우저 성능이 저하되거나 멈출 수 있습니다.
💡 쉬운 설명
악성 XML 파일이 첨부된 파일을 클릭하면 웹 브라우저가 무한 루프에 빠져 느려지거나 멈추게 만드는 공격입니다. 이는 시스템을 직접 파괴하기보다는 사용자의 브라우저 사용을 방해하는 데 목적이 있습니다.
🇺🇸 원문 (English)
The Create Single Payment application of SAP S/4HANA - versions 100, 101, 102, 103, 104, 105, 106, 107, 108, allows an attacker to upload the XML file as an attachment. When clicked on the XML file in the attachment section, the file gets opened in the browser to cause the entity loops to slow down the browser.
📍 영향받는 시스템
SAP S/4HANA Create Single Payment application (versions 100, 101, 102, 103, 104, 105, 106, 107, 108)
⚔️ 공격 벡터
악성 XML 파일이 포함된 첨부 파일을 업로드한 후 사용자가 이를 클릭하도록 유도하는 방식
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치를 적용하고 XML 파싱 시 외부 엔티티 참조를 제한하도록 설정하십시오.
🔧 검증 코드
로그 또는 설정 파일에서 취약한 버전 범위(100-108)에 해당하는 애플리케이션 실행 기록이 있는지 확인합니다.
grep -r "Create Single Payment" /path/to/sap/logs | grep -E '10[0-8]'