[KRCERT]SAP 제품 보안 업데이트 권고

내용 요약

SAP는 2025년 9월 발표된 보안 패치를 통해 ABAP, Java, RMI‑P4, S/4HANA 및 NetWeaver에서 발견된 다섯 개의 심각한 취약점을 해결했습니다. 해당 버전을 사용 중인 고객은 별도 보안 패치를 적용해 최신 버전으로 업데이트할 것을 권고합니다.

핵심 포인트

• 인증 우회, 파일 업로드, 역직렬화, 코드 인젝션, 경로 탐색 등 5가지 CVE가 동시에 공개돼 있습니다.
• 각 제품별 영향 버전이 명확히 정의되어 있어 빠른 대응이 필요합니다.
• SAP는 별도 보안 패치(Note 3302162 등)를 제공하고 있으며, 업데이트는 SAP Support Portal을 통해 수행됩니다.

기술 세부 내용

1️⃣ CVE‑2023‑27500 – 인증 우회 (SAP NetWeaver AS for ABAP)

• 영향: 00 이상 ~ 702 이하, 731, 740, 750 이상 ~ 757 이하
• 원인: ABAP 플랫폼 내부 인증 로직에 취약점이 존재해 사용자가 인증을 우회할 수 있음.
• 대응: Note 3302162를 적용해 패치를 설치하고, 702 이하 버전은 757 이하로 업그레이드.

2️⃣ CVE‑2025‑42922 – 파일 업로드 취약점 (SAP NetWeaver AS Java)

• 영향: J2EE‑APPS 7.50
• 원인: Deploy Web Service에서 파일 검증 절차가 부재해 악성 파일이 업로드될 수 있음.
• 대응: Note 3643865를 적용해 보안 패치를 설치, 업그레이드가 필수.

3️⃣ CVE‑2025‑42944 – 역직렬화 취약점 (SAP NetWeaver RMI‑P4)

• 영향: SERVERCORE 7.50
• 원인: RMI‑P4가 외부 객체를 안전하게 역직렬화하지 않아 원격 코드 실행이 가능.
• 대응: Note 3634501을 적용해 패치, 필요한 경우 7.50 이상으로 업그레이드.

4️⃣ CVE‑2025‑42957 – Code Injection (SAP S/4HANA)

• 영향: S4CORE 102 이상 ~ 108 이하
• 원인: 사용자 입력이 적절히 이스케이프되지 않아 SQL/JavaScript 인젝션 가능.
• 대응: Note 3627998을 적용해 보안 패치, 102~108 버전은 108 이후로 업데이트.

5️⃣ CVE‑2025‑42958 – 경로 탐색 (SAP NetWeaver)

• 영향: KRNL64NUC, KRNL64UC, KERNEL 7.22~7.54
• 원인: 파일 경로 처리 로직이 완전하지 않아 임의 파일 접근 가능.
• 대응: Note 3627373을 적용해 패치, 해당 버전은 7.54 이하에서 7.54 이상으로 업그레이드.

⚠️ 업데이트 절차
1. SAP Support Portal에 로그인 → Knowledge Base → “Security Notes” 검색
2. 해당 Note 번호(3302162, 3643865, 3634501, 3627998, 3627373) 선택
3. 패치 다운로드 → 시스템 재부팅 및 재검증

참고 링크

• SAP 보안 노트: https://support.sap.com/en/my-support/knowledge-base/security-notes-news/september-2025.html
• CVE 상세: https://nvd.nist.gov/vuln/detail/CVE-2025-42922 등

---

문의
한국인터넷진흥원 사이버민원센터(국번없이 118)에서 추가 지원을 받을 수 있습니다.

 

출처: https://knvd.krcert.or.kr/detailSecNo.do?IDX=6584