🇰🇷 한글 설명
SAP NetWeaver ABAP 및 ABAP Platform에서 권한이 있는 사용자가 진단 트레이스를 활성화할 경우 민감한 세션 식별자 정보가 트레이스 파일에 기록됩니다. 공격자가 이 트레이스 데이터에 접근할 수 있다면 유효 기간 내에 정당한 사용자로 위장할 수 있으며, 이는 기밀성에 높은 영향을 미칩니다.
💡 쉬운 설명
시스템 점검을 위해 기록을 남기는 과정에서 사용자의 로그인 정보와 유사한 중요한 열쇠가 파일에 저장되는 문제입니다. 이 파일을 몰래 본 공격자는 다른 사용자인 척 시스템에 접속할 수 있습니다.
🇺🇸 원문 (English)
SAP NetWeaver Application Server for ABAP and ABAP Platform writes sensitive session identifier information into a diagnostic trace when the trace is activated by a privileged user. An attacker with access to the resulting trace data could obtain identifiers that allow impersonation of legitimate users during their validity period. This leads to high impact on confidentiality. Integrity and availability are not impacted.
📍 영향받는 시스템
SAP NetWeaver Application Server for ABAP 및 ABAP Platform
⚔️ 공격 벡터
진단 트레이스 파일에 기록된 세션 식별자 탈취를 통한 사용자 사칭
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치를 적용하고 진단 트레이스 파일에 대한 접근 권한을 엄격히 제한하십시오.
🔧 검증 코드
명령어 실행 결과로 세션 식별자 패턴이 포함된 트레이스 파일 목록이 출력되면 취약한 상태일 가능성이 높습니다.
find /path/to/sap/logs -name "*.trc" -exec grep -l "session_id" {} +
📊 CVSS Vector String
CVSS:3.1/AV:A/AC:L/PR:H/UI:R/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server