🇰🇷 한글 설명
SAP S/4HANA OData 서비스(Manage Technical Object Structures)에서 권한 확인 절차가 누락되어 발생합니다. 공격자는 적절한 권한 없이 노출된 OData 서비스를 통해 하위 엔티티를 업데이트하거나 삭제할 수 있습니다. 이 취약점은 무결성에 낮은 영향을 미치며, 기밀성과 가용성에는 영향을 주지 않습니다.
💡 쉬운 설명
시스템의 특정 기능을 사용할 때 '이 사람이 권한이 있는지' 확인하는 과정이 빠져 있습니다. 이로 인해 허가받지 않은 사용자가 중요한 데이터를 수정하거나 삭제할 위험이 있습니다.
🇺🇸 원문 (English)
Due to missing authorization checks in the SAP S/4HANA OData Service (Manage Technical Object Structures), an attacker could update and delete child entities via exposed OData services without proper authorization. This vulnerability results in a low impact on integrity, while confidentiality and availability are not impacted.
📍 영향받는 시스템
SAP S/4HANA (Manage Technical Object Structures OData Service 사용 환경)
⚔️ 공격 벡터
노출된 OData 서비스를 통한 비인가 업데이트 및 삭제 요청
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치를 적용하고 OData 서비스에 대한 접근 권한 설정을 강화하십시오.
🔧 검증 코드
명령어 실행 시 401(Unauthorized) 또는 403(Forbidden)이 아닌 200(OK)이 반환되며 권한 없이 수정/삭제가 가능하다면 취약한 상태입니다.
curl -I -X GET 'https://<target-host>/sap/opu/odata/sap/SERVICE_NAME' 2>/dev/null | grep -i '401\|403'