🇰🇷 한글 설명
SAP NetWeaver Application Server ABAP(Business Server Pages 기반 애플리케이션)에서 보호되지 않은 URL 파라미터로 인해 반사형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 인증되지 않은 공격자가 조작된 URL을 통해 악성 스크립트를 삽입할 수 있으며, 피해자가 링크를 클릭하면 브라우저에서 악성 코드가 실행되어 기밀성과 무결성이 침해될 수 있습니다. 가용성에는 영향이 없습니다.
💡 쉬운 설명
공격자가 만든 특정 링크를 클릭하면 SAP 웹 페이지에 악성 코드가 몰래 실행될 수 있습니다. 이를 통해 로그인 정보나 화면의 데이터가 노출되거나 변조될 수 있습니다.
🇺🇸 원문 (English)
Due to a reflected cross-site scripting (XSS) vulnerability in SAP NetWeaver Application Server ABAP (Applications based on Business Server Pages), an unauthenticated attacker could craft a URL that exploits an unprotected URL parameter to embed a malicious script. If a victim clicks the link, the injected input is processed during web page generation, resulting in the execution of malicious content in the victim�s browser context. This could allow the attacker to access and/or modify information, impacting the confidentiality and integrity of the application, with no impact to availability.
📍 영향받는 시스템
SAP NetWeaver Application Server ABAP 기반 애플리케이션(BSP 사용 환경)의 해당 버전 및 패치 미적용 시스템
⚔️ 공격 벡터
공격자가 취약한 URL 파라미터에 악성 스크립트를 담은 링크를 만들어 피해자에게 전달하고, 피해자가 클릭하면 브라우저에서 실행
🛡️ 대응 방법
SAP 보안 노트(Security Note)의 최신 패치를 적용하고, 입력값에 대한 출력 인코딩 및 검증을 수행
🔧 검증 코드
SAP 설치 경로에서 NetWeaver 관련 항목이 확인되면 SAP 시스템 버전과 보안 노트 적용 여부를 SAP 관리 도구(SNOTE 등)에서 직접 대조해야 하며, 결과가 없으면 해당 시스템이 설치되어 있지 않을 가능성이 높습니다.
grep -ri 'NetWeaver' /usr/sap 2>/dev/null | head -n 5
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server