🇰🇷 한글 설명
SAP NetWeaver Application Server for ABAP에서 권한 검사가 누락되어, 인증된 일반 사용자가 특정 RFC 함수 모듈을 통해 Database Analyzer 로그 파일을 읽을 수 있습니다. 해당 함수 모듈을 실행할 권한이 있는 공격자는 권한을 상승시켜 민감한 데이터를 열람할 수 있으며, 기밀성에 제한적인 영향을 미치고 무결성과 가용성에는 영향이 없습니다.
💡 쉬운 설명
일반 사용자 권한을 가진 사람이 특정 기능을 악용해 데이터베이스 점검 기록을 볼 수 있는 문제입니다. 다행히 시스템을 변경하거나 중단시키는 것은 불가능합니다.
🇺🇸 원문 (English)
Due to a missing authorization check in SAP NetWeaver Application Server for ABAP, an authenticated attacker with user privileges could read Database Analyzer Log Files via a specific RFC function module. The attacker with the necessary privileges to execute this function module could potentially escalate their privileges and read the sensitive data, resulting in a limited impact on the confidentiality of the information stored. However, the integrity and availability of the system are not affected.
📍 영향받는 시스템
SAP NetWeaver Application Server for ABAP (해당 SAP 보안 패치 적용 전 버전)
⚔️ 공격 벡터
인증된 일반 사용자가 권한 검사가 누락된 특정 RFC 함수 모듈을 호출하여 Database Analyzer 로그 파일을 조회
🛡️ 대응 방법
SAP 보안 노트(SAP Security Note)에서 해당 CVE 패치를 확인 후 적용하고, RFC 함수 모듈에 대한 접근 권한을 최소화
🔧 검증 코드
SAP 시스템 설정 경로에서 해당 CVE 관련 패치 기록이 출력되면 패치가 적용된 것이며, 아무 결과도 없으면 패치가 적용되지 않았을 가능성이 높으므로 SAP 보안 노트 적용 이력을 직접 확인해야 합니다.
grep -ri 'CVE-2026-27688' /usr/sap/*/SYS/global/ 2>/dev/null | head -5