🇰🇷 한글 설명
SAP S/4HANA(SAP Enterprise Search for ABAP)에서 인증된 공격자가 사용자 제어 입력을 통해 악성 SQL 문을 주입할 수 있는 SQL 인젝션 취약점이 발견되었습니다. 이 취약점은 입력값에 대한 적절한 검증 없이 SQL 쿼리에 직접 결합되어 발생하며, 공격자는 민감한 데이터에 접근하거나 애플리케이션을 중단시킬 수 있습니다.
💡 쉬운 설명
해커가 특수한 명령어를 입력창에 넣어 데이터베이스를 마음대로 조작하거나 정보를 훔칠 수 있는 보안 구멍입니다. 이로 인해 중요한 정보가 유출되거나 시스템이 갑자기 멈출 위험이 있습니다.
🇺🇸 원문 (English)
SAP S/4HANA (SAP Enterprise Search for ABAP) contains a SQL injection vulnerability that allows an authenticated attacker to inject malicious SQL statements through user-controlled input. The application directly concatenates this malicious user input into SQL queries, which are then passed to the underlying database without proper validation or sanitization. Upon successful exploitation, an attacker may gain unauthorized access to sensitive database information and could potentially crash the application. This vulnerability has a high impact on the confidentiality and availability of the application, while integrity remains unaffected.
📍 영향받는 시스템
SAP S/4HANA (SAP Enterprise Search for ABAP)
⚔️ 공격 벡터
인증된 사용자가 조작된 입력값을 통해 SQL 쿼리에 악성 코드를 삽입하는 방식
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치를 적용하고, 입력값에 대한 검증 및 매개변수화된 쿼리(Parameterized Query)를 사용하도록 코드를 수정해야 합니다.
🔧 검증 코드
명령어 결과에 SAP Enterprise Search 프로세스가 실행 중인지 확인하여 해당 서비스의 활성화 여부를 파악합니다.
sapcontrol -function GetProcessList | grep -i 'Enterprise Search'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
SAP 제품 보안 업데이트 권고
P4
📅 2026-05-18 · sec_notice
SAP 제품군(Commerce Cloud, S/4HANA)에서 Incomplete Cleanup 및 SQL Injection 취약점이 발견되었습니다. 해당 제품의 특정 버전을 사용하는 사용자는 데이터 유출 및 시스템 조작 위험이 있으므로 최신 보안 패치를 적용해야 합니다.