🇰🇷 한글 설명
SAP S/4HANA의 'Manage Processing Rules - For Bank Statements' 기능에서 인증된 사용자가 요청 파라미터를 조작하여 다른 사용자의 공유 규칙에 포함된 조건을 삭제할 수 있는 취약점입니다. 권한 검증 미비로 인해 제한된 공유 규칙의 조건이 삭제될 수 있으며, 이는 애플리케이션의 무결성을 저해할 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 시스템의 요청 값을 몰래 바꿔서 다른 사람이 만든 중요한 규칙을 마음대로 지울 수 있는 문제입니다. 이로 인해 은행 거래 처리 규칙이 잘못 변경되어 데이터의 정확성이 떨어질 수 있습니다.
🇺🇸 원문 (English)
SAP S/4HANA (Manage Processing Rules - For Bank Statements) allows an authenticated attacker with basic privileges to delete conditions from any shared rule of any user by tampering the request parameter. Due to missing authorization check, the attacker can delete shared rule conditions that should be restricted, compromising the integrity of the application without affecting its confidentiality or availability.
📍 영향받는 시스템
SAP S/4HANA (Manage Processing Rules - For Bank Statements 기능 포함 버전)
⚔️ 공격 벡터
인증된 사용자가 HTTP 요청 파라미터를 조작하여 권한이 없는 공유 규칙의 조건을 삭제함
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치를 적용하고, 권한 검증 로직이 포함된 업데이트를 수행해야 함
🔧 검증 코드
출력된 SAP S/4HANA 버전이 해당 취약점이 해결된 패치 버전인지 SAP 보안 공지를 통해 확인하십시오.
sapcontrol -function GetVersion | grep -i 'S/4HANA'