🇰🇷 한글 설명
SAP S/4HANA 프론트엔드 OData 서비스(Manage Reference Structures)에서 권한 확인 절차가 누락되었습니다. 이로 인해 공격자가 적절한 권한 없이 노출된 OData 서비스를 통해 하위 엔티티를 업데이트하거나 삭제할 수 있으며, 이는 데이터 무결성에 큰 영향을 미칩니다.
💡 쉬운 설명
시스템의 권한 확인 기능이 제대로 작동하지 않아, 허가받지 않은 사용자가 중요한 데이터를 마음대로 수정하거나 지울 수 있는 보안 결함입니다. 데이터의 정확성이 훼손될 위험이 있습니다.
🇺🇸 원문 (English)
Due to missing authorization checks in the SAP S/4HANA frontend OData Service (Manage Reference Structures), an attacker could update and delete child entities via exposed OData services without proper authorization. This vulnerability has a high impact on integrity, while confidentiality and availability are not impacted.
📍 영향받는 시스템
SAP S/4HANA (Manage Reference Structures OData Service 사용 환경)
⚔️ 공격 벡터
권한 검증이 없는 OData 서비스를 통해 악의적인 업데이트 또는 삭제 요청 전송
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치를 적용하고 OData 서비스에 대한 접근 권한 설정을 강화하십시오.
🔧 검증 코드
권한 없이 접근했을 때 401 Unauthorized 또는 403 Forbidden이 아닌 200 OK가 반환되면 취약할 가능성이 있습니다.
curl -I -X GET 'https://<target-host>/sap/opu/odata/sap/SERVICE_NAME/EntitySet' | grep -i 'HTTP/1.1 200'