🇰🇷 한글 설명
SAP S/4HANA(Enterprise Event Enablement)에서 권한 확인 절차가 누락되어 발생하는 취약점입니다. 공격자가 인바운드 바인딩 설정에 접근할 수 있다면 임의의 고권한 사용자를 할당한 RFC 목적지를 생성할 수 있으며, 이를 통해 해당 사용자의 권한으로 코드를 실행할 수 있습니다. 이 취약점은 기밀성과 무결성에 높은 위험을 초래합니다.
💡 쉬운 설명
시스템의 권한 확인 과정이 빠져 있어, 공격자가 관리자 권한을 가진 가짜 통로를 만들 수 있는 문제입니다. 이를 통해 공격자는 마치 관리자인 것처럼 시스템에 명령을 내려 중요한 정보를 빼내거나 조작할 수 있습니다.
🇺🇸 원문 (English)
Due to a missing authorization check vulnerability in SAP S/4HANA (Enterprise Event Enablement), an attacker with access to the Inbound Binding Configuration could create an RFC destination and assign an arbitrary high-privilege user. This allows the attacker to consume events via the RFC destination, leading to code execution under the privileges of the assigned high-privilege user. While the vulnerability has a low impact on Availability, it significantly poses a high risk to both Confidentiality and Integrity.
📍 영향받는 시스템
SAP S/4HANA (Enterprise Event Enablement 구성 요소)
⚔️ 공격 벡터
Inbound Binding Configuration에 접근하여 고권한 사용자가 할당된 RFC destination을 생성 및 실행
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치를 적용하고 인바운드 바인딩 설정에 대한 접근 권한을 엄격히 제한하십시오.
🔧 검증 코드
해당 명령어로 시스템 상태를 확인한 후, SAP 보안 공지(Security Notes)에 명시된 패치 적용 여부 및 버전 정보를 대조하여 확인합니다.
sapcontrol -nr <instance_number> -function GetSystemInstanceList