🇰🇷 한글 설명
SAP S/4HANA OData 서비스(Manage Reference Equipment)에서 권한 확인 절차가 누락되어 발생합니다. 공격자가 적절한 권한 없이도 OData 서비스를 통해 하위 엔티티를 업데이트하거나 삭제할 수 있으며, 이는 데이터 무결성에 높은 영향을 미칩니다.
💡 쉬운 설명
시스템의 권한 확인 기능이 제대로 작동하지 않아, 허가되지 않은 사용자가 중요한 데이터를 마음대로 수정하거나 지울 수 있는 문제입니다. 데이터가 변조될 위험이 있어 주의가 필요합니다.
🇺🇸 원문 (English)
Due to missing authorization checks in the SAP S/4HANA OData Service (Manage Reference Equipment), an attacker could update and delete child entities via OData services without proper authorization. This vulnerability has a high impact on integrity, while confidentiality and availability are not impacted.
📍 영향받는 시스템
SAP S/4HANA (Manage Reference Equipment OData Service 사용 환경)
⚔️ 공격 벡터
권한이 없는 공격자가 OData 서비스를 통해 조작된 요청을 전송하여 데이터 수정 및 삭제 수행
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치를 적용하고 OData 서비스에 대한 접근 권한 설정을 재검토하십시오.
🔧 검증 코드
해당 서비스 엔드포인트에 대해 권한이 없는 계정으로 접근했을 때 401 Unauthorized 또는 403 Forbidden 응답이 오는지 확인합니다.
curl -I -X GET 'https://<target-host>/sap/opu/odata/sap/SERVICE_NAME/EntitySet' -H 'Authorization: Basic <credentials>'