□ 개요

 o SAP社는 자사 제품의 취약점을 해결한 보안 업데이트 공지 [1]

 o 공격자는 취약점을 악용하여 피해를 발생시킬 수 있으므로, 해당 제품을 사용하는 이용자들은 최신 버전으로 업데이트 권고



□ 설명

 o SAP NetWeaver, ABAP Platform의 SAProuter에서 발생하는 부적절한 접근 제어 취약점 (CVE-2022-27668)

 o SAP PowerDesigner Proxy에서 발생하는 권한 상승 취약점 (CVE-2022-31590)

 o ABAP, ABAP Platform의 SAP NetWeaver Application Server에서 발생하는 인증 확인 누락 취약점 (CVE-2022-29611)

 o SAP NetWeaver Development Infrastructure에서 발생하는 크로스 사이트 스크립팅(XSS) 취약점 (CVE-2022-29618)

 o SAP NetWeaver, ABAP Platform, SAP Host Agent에서 발생하는 SSRF (Server-Side Request Forgery) 취약점 (CVE-2022-29612)

 o SHAAM 프로그램에서 발생하는 부적절한 권한 부여 취약점 (CVE-2022-31589)

 o SAP Financial Consolidation에서 발생하는 권한 상승 취약점 (CVE-2022-31595)

 o SAP NetWeaver AS ABAP, AS Java, ABAP Platform, HANA Data의 SAP startservice에서 발생하는 권한 상승 취약점 (CVE-2022-29614)

 o SAP Netweaver Developer Studio (NWDS)의 Apache log4j 1.x 구성 요소에서 발생하는 다중 취약점 (CVE-2022-29615)

 o SAP Adaptive Server Enterprise (ASE)에서 발생하는 권한 상승 취약점 (CVE-2022-31594)



□ 영향을 받는 버전 및 제품

CVE-ID	영향받는 제품	버전
CVE-2022-27668	SAP NetWeaver, ABAP Platform	KERNEL 7.49, 7.77, 7.81, 7.85, 7.86, 7.87, 7.88, KRNL64NUC 7.49, KRNL64UC 7.49, SAP_ROUTER 7.53, 7.22
CVE-2022-31590	SAP PowerDesigner Proxy	16.7
CVE-2022-29611	SAP NetWeaver Application Server for ABAP, ABAP Platform	700, 701, 702, 710, 711, 730, 731, 740, 750, 751, 752, 753, 754, 755, 756, 787, 788
CVE-2022-29618	SAP NetWeaver Development Infrastructure (Design Time Repository)	7.30, 7.31, 7.40, 7.50
CVE-2022-29612	SAP NetWeaver, ABAP Platform, SAP Host Agent	KERNEL 7.22, 7.49, 7.53, 7.77, 7.81, 7.85, 7.86, 7.87, 7.88, 8.04, KRNL64NUC 7.22, 7.22EXT, 7.49, KRNL64UC 7.22, 7.22EXT, 7.49, 7.53, 8.04, SAPHOSTAGENT 7.22
CVE-2022-31589	SAP ERP, localization for CEE countries	C-CEE 110_600, 110_602, 110_603, 110_604, 110_700
	SAP Financials	SAP_FIN 618, 720
	SAP S/4Hana Core	S4CORE 100, 101, 102, 103, 104, 105, 106, 107, 108
CVE-2022-31594 CVE-2022-31595	SAP Adaptive Server Enterprise (ASE)	KERNEL 7.22, 7.49, 7.53, KRNL64NUC 7.22, 7.22EXT, 7.49, KRNL64UC 7.22, 7.22EXT, 7.49, 7.53
CVE-2022-29614	SAP NetWeaver AS ABAP, AS Java, ABAP Platform, HANA Dataþase	KERNEL 7.22, 7.49, 7.53, 7.77, 7.81, 7.85, 7.86, 7.87, 7.88, KRNL64NUC 7.22, 7.22EXT, 7.49, KRNL64UC 7.22, 7.22EXT, 7.49, 7.53, SAPHOSTAGENT 7.2
CVE-2022-29615	SAP NetWeaver Developer Studio (NWDS)	7.50

 

□ 해결방안

 o 제조사 홈페이지를 참고하여 최신버전으로 업데이트



□ 기타 문의사항

 o 한국인터넷진흥원 사이버민원센터: 국번없이 118



[참고사이트]

[1] https://dam.sap.com/mac/app/e/pdf/preview//ucQrx6G?ltr=a&rc=10





□ 작성 : 침해사고분석단 취약점분석팀