🇰🇷 한글 설명
SAP NetWeaver AS ABAP 및 ABAP Platform은 특정 구성에서 수신되는 인증 어설션을 충분히 검증하지 않습니다. 인증되지 않은 공격자가 특수하게 조작된 데이터를 제출하여 인증을 우회하고 관리자 계정을 포함한 임의의 사용자로 가장할 수 있습니다. 이로 인해 전체 시스템이 침해될 수 있으며, 연결된 구성요소와 다른 시스템까지 영향이 확대될 수 있습니다.
💡 쉬운 설명
공격자가 로그인 없이도 관리자 계정인 것처럼 시스템에 접근할 수 있는 매우 심각한 취약점입니다. 한 번 뚫리면 연결된 다른 시스템까지 피해가 번질 수 있습니다.
🇺🇸 원문 (English)
SAP NetWeaver AS ABAP and ABAP Platform does not perform sufficient verification of incoming authentication assertions under certain configurations. An unauthenticated attacker could submit specially crafted data to bypass authentication and impersonate arbitrary users, including privileged accounts. Successful exploitation could cause a full system compromise, with the impact potentially extending to connected components and systems beyond the affected system. This results in a high impact on confidentiality, integrity, and availability of the application.
📍 영향받는 시스템
SAP NetWeaver AS ABAP 및 ABAP Platform (특정 구성의 버전, 정확한 범위는 SAP 보안 공지 확인 필요)
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 조작된 인증 어설션 데이터를 전송해 인증을 우회하고 권한 있는 계정으로 가장
🛡️ 대응 방법
SAP가 제공하는 최신 보안 패치를 즉시 적용하고, 해당 공지에 명시된 구성 변경을 수행
🔧 검증 코드
출력된 커널/릴리스 정보를 SAP 보안 공지의 영향 버전과 비교하여, 패치가 적용되지 않았거나 해당 구성이 활성화되어 있으면 취약한 것으로 판단
ls /usr/sap 2>/dev/null && cat /usr/sap/*/SYS/profile/DEFAULT.PFL 2>/dev/null | grep -iE 'release|kernel|patch' | head -n 20
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
SAP 제품 보안 업데이트 권고
P4
📅 2026-11-10 · sec_notice
SAP NetWeaver AS ABAP 및 ABAP Platform의 SAML2 Service Provider 구성요소에서 암호화 서명 검증이 부적절하게 이루어지는 취약점(CVE-2026-120017)이 확인되어 보안 업데이트가 발표되었습니다. 해당 SAP_BASIS 버전(702~758, 816, 920~922)을 사용 중인 기관은 SAP 공지 및 보안 노트를 확인하여 별도 패치를 신속히 적용해야 합니다.