🇰🇷 한글 설명
SAP NetWeaver Application Server for ABAP에서 권한 확인 절차가 누락되어 발생하는 취약점입니다. 인증된 공격자가 기본 권한만으로 특정 ABAP 함수 모듈을 실행하여 시스템의 제한된 기술 정보를 탈취할 수 있습니다. 이러한 정보 노출은 향후 추가 공격을 계획하는 데 악용될 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 원래는 볼 수 없는 시스템의 내부 정보를 몰래 훔쳐볼 수 있는 문제입니다. 이 정보가 유출되면 해커가 시스템의 약점을 파악하여 더 큰 공격을 준비하는 데 사용될 수 있습니다.
🇺🇸 원문 (English)
Due to a missing authorization check in SAP NetWeaver Application Server for ABAP, an authenticated attacker with basic privileges could execute a specific function module in ABAP to retrieve restricted technical information from the system. This disclosure of environment details of the system could further assist this attacker to plan subsequent attacks. As a result, this vulnerability has a low impact on confidentiality, with no impact on the integrity or availability of the application.
📍 영향받는 시스템
SAP NetWeaver Application Server for ABAP
⚔️ 공격 벡터
인증된 공격자가 권한이 없는 ABAP 함수 모듈을 호출하여 시스템 정보를 탈취
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치를 적용하여 권한 검증 로직을 강화해야 함
🔧 검증 코드
명령어 실행 결과로 나타나는 시스템 버전이 SAP 보안 권고문에서 명시한 패치 적용 전 버전인지 확인
sapcontrol -function GetSystemInstanceDetails 2>/dev/null | grep -i 'version'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server