🇰🇷 한글 설명
SAP NetWeaver Application Server ABAP에서 특정 조건下 입력값 처리가 부적절하여, 공격자가 애플리케이션이 제공하는 웹 페이지에 사용자 정의 CSS 데이터를 삽입할 수 있습니다. 사용자가 해당 페이지에 접근하거나 클릭하면 삽입된 CSS가 실행되며, 기밀성에 낮은 영향을 미치고 무결성과 가용성에는 영향이 없습니다.
💡 쉬운 설명
공격자가 SAP 웹 페이지에 악성 스타일 코드를 몰래 넣을 수 있는 취약점입니다. 사용자가 해당 페이지를 열면 화면 모양이 조작되거나 일부 정보가 노출될 수 있지만 시스템 자체가 망가지지는 않습니다.
🇺🇸 원문 (English)
Due to improper input handling under certain conditions, SAP NetWeaver Application Server ABAP allows an attacker to inject custom Cascading Style Sheets (CSS) data into a web page served by the application. When a user accesses or clicks the affected page, the injected CSS is executed. As a result, the issue has a low impact on confidentiality, while integrity and availability are not impacted.
📍 영향받는 시스템
SAP NetWeaver Application Server ABAP (해당 SAP Security Note 적용 전 버전)
⚔️ 공격 벡터
조작된 링크나 입력값을 통해 대상 웹 페이지에 악성 CSS를 주입한 뒤 사용자가 페이지에 접근하도록 유도
🛡️ 대응 방법
SAP 공식 보안 패치(SAP Security Note)를 적용하고 NetWeaver AS ABAP 커널 및 SP를 최신 수준으로 업데이트
🔧 검증 코드
출력된 커널 버전을 SAP 보안 노트에서 명시한 패치 적용 버전과 비교하여, 같거나 높으면 조치 완료, 낮으면 패치 필요로 판단
disp+work -version 2>/dev/null | grep -i 'kernel release'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server