SAP NetWeaver הוא הבסיס הטכני שעליו רצות מערכות SAP בארגון. לפי הרשומה, רכיב בשם Visual Composer Metadata Uploader אינו מוגן בבדיקת הרשאות כנדרש, וכך גורם שאינו מזוהה כלל יכול להעלות אליו קבצי הרצה. הציון הוא 10, הגבוה ביותר שקיים, ו-CISA רשמה את החולשה כמנוצלת בשטח ב-29 באפריל 2025.

מה החולשה?

רוב החולשות הן באג: הקוד מנסה לעשות משהו נכון ונכשל בפינה מסוימת. זו אינה כזאת. כאן הבדיקה פשוט אינה נמצאת במקום שבו היא הייתה אמורה להיות.

לרכיב שמקבל קבצים יש שתי שאלות לשאול לפני שהוא כותב משהו לדיסק. הראשונה, מי אתה. השנייה, מה מותר לך להעלות. לפי הרשומה הרכיב הזה אינו שואל את הראשונה, ולכן השנייה כבר לא משנה.

התוצאה היא שקובץ בינארי שאפשר להריץ נכנס אל תוך השרת. הרשומה מנסחת את ההמשך בזהירות ומדברת על נזק חמור למערכת המארחת ועל פגיעה בסודיות, בשלמות ובזמינות. הציון 10 בא מהצירוף: פנייה מהרשת, בלי הרשאות, בלי מעורבות של משתמש, והשפעה שחורגת מהרכיב עצמו אל המערכת סביבו.

Visual Composer הוא כלי שמשמש לבניית מסכים ותהליכים. הרשומה אינה אומרת אם הוא פעיל בכל התקנה, ולכן הבדיקה הראשונה אצלכם היא אם הוא בכלל רץ.

מי מושפע?

לפי הרשומה, SAP NetWeaver בגרסה 7.50. ההודעה הרשמית של SAP על החולשה היא הערה 3594142.

SAP היא מערכת ליבה ארגונית, כזאת שמחזיקה הזמנות, מלאי, ספקים ושכר. משתמש פרטי אינו נוגע בה, אבל ארגון שמריץ אותה מחזיק בה בדרך כלל את המידע העסקי הרגיש ביותר שלו. לכן שרת NetWeaver שנגיש מהאינטרנט הוא הדבר הראשון שצריך לטפל בו כאן, עוד לפני שמדברים על גרסאות.

האם מנוצלת בפועל?

כן. הרשומה מפנה לניתוח של Onapsis שמתאר ניצול פעיל של החולשה, ולדיווח של BleepingComputer שמתאר חשד לחולשת יום אפס, כלומר כזו שנוצלה עוד לפני שהיה לה תיקון. שני התיאורים האלה הם של המפרסמים עצמם, לא של הרשומה.

ב-29 באפריל 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, והמועד לתיקון בגופים הפדרליים האמריקאיים נקבע ל-20 במאי 2025.

מה עושים?

1. התקינו את העדכון של SAP. דף עדכוני האבטחה והערה 3594142 הם ההפניות הרשמיות שהרשומה מביאה.

2. בדקו אם Visual Composer בכלל פעיל אצלכם. אם הוא אינו נדרש לתהליכי העבודה, כיבוי שלו מוריד את הרכיב הפגיע מהמשוואה גם בלי תלות בלוח הזמנים של העדכון.

3. חתכו את הגישה מהאינטרנט. הפנייה אינה דורשת הזדהות, ולכן שרת NetWeaver שנגיש מבחוץ פתוח לכל סורק שעובר.

4. חפשו קבצים שהועלו. הרשומה מדברת על העלאה של קבצי הרצה, ולכן עברו על תיקיות ההעלאה של השרת אחרי קבצים שלא אתם הנחתם, והצליבו מול הלוגים.

5. אם מצאתם משהו, אל תסתפקו במחיקה. שרת שהריץ קוד זר צריך בדיקה לעומק, כולל חשבונות שנוצרו בו ומשימות מתוזמנות שנוספו לו.