🇰🇷 한글 설명
SAP Commerce Cloud의 부적절한 Spring Security 설정으로 인해 인증되지 않은 사용자가 악의적인 입력을 주입하여 서버에서 임의의 코드를 실행할 수 있는 취약점입니다. 이는 시스템의 기밀성, 무결성, 가용성에 치명적인 영향을 미칩니다.
💡 쉬운 설명
SAP 온라인 쇼핑몰 시스템의 보안 설정이 잘못되어 누구나 악의적인 명령을 보낼 수 있습니다. 공격자는 이를 이용해 서버를 완전히 장악하고 모든 데이터를 빼내거나 파괴할 수 있습니다.
🇺🇸 원문 (English)
Due to improper Spring Security configuration, SAP Commerce Cloud allows an unauthenticated user to perform malicious input injection, resulting in arbitrary server-side code execution, leading to high impact on Confidentiality, Integrity, and Availability of the application.
📍 영향받는 시스템
SAP Commerce Cloud (모든 영향받는 버전, 공식 공지 대기)
⚔️ 공격 벡터
네트워크를 통한 인증 우회 및 입력 주입으로 원격 코드 실행 (RCE)
🛡️ 대응 방법
SAP 공식 보안 패치 적용 또는 Spring Security 설정 재검토 및 즉시 업그레이드
🔧 검증 코드
Spring Security 라이브러리 파일이 발견되면 버전을 확인하고 CVE 공지의 영향받는 버전 범위와 비교하여 시스템이 취약한지 판단합니다.
find / -path '*/opt/sap' -prune -o -name 'spring-security-*.jar' -type f -print 2>/dev/null | head -1
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
SAP 제품 보안 업데이트 권고
P4
📅 2026-05-18 · sec_notice
SAP 제품군(Commerce Cloud, S/4HANA)에서 Incomplete Cleanup 및 SQL Injection 취약점이 발견되었습니다. 해당 제품의 특정 버전을 사용하는 사용자는 데이터 유출 및 시스템 조작 위험이 있으므로 최신 보안 패치를 적용해야 합니다.