🇰🇷 한글 설명
SAP S/4HANA의 대체/검증 규칙 관리 기능에서 입력값 검증이 미흡하여 발생하는 취약점입니다. 특정 권한을 가진 인증된 공격자가 특수하게 조작된 입력을 통해 시스템 내에서 임의의 ABAP 코드를 실행할 수 있습니다. 이를 통해 시스템의 기밀성, 무결성, 가용성이 완전히 침해될 수 있습니다.
💡 쉬운 설명
시스템 설정 규칙을 만드는 과정에서 보안 검사가 제대로 되지 않아 발생하는 문제입니다. 공격자가 나쁜 명령어를 입력하면 시스템이 이를 정상적인 명령으로 착각해 실행함으로써 시스템 전체를 장악할 수 있습니다.
🇺🇸 원문 (English)
SAP S/4HANA (Manage Substitution/Validation Rules) does not sufficiently validate input processed by rule definition functionality that utilizes a domain-specific scripting language. An authenticated attacker with specific business privileges could submit specially crafted input, which is interpreted as executable ABAP code by the rule processing logic. Successful exploitation could allow the attacker to execute ABAP arbitrary code into the system, resulting in full compromise of the affected system and high impact on confidentiality, integrity, and availability of the system.
📍 영향받는 시스템
SAP S/4HANA (Manage Substitution/Validation Rules 기능 사용 시)
⚔️ 공격 벡터
특정 비즈니스 권한을 가진 인증된 사용자가 규칙 정의 기능에 조작된 스크립트 입력
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치 적용 및 입력값 검증 로직 강화
🔧 검증 코드
시스템 정보에서 해당 제품군이 실행 중인지 확인하고, SAP 보안 공지(Security Notes)를 통해 해당 CVE에 대한 패치 적용 여부를 대조하십시오.
sapcontrol -function GetSystemInstanceDetails | grep -i 'S/4HANA'