הרשומה מתארת רכיב אחד בתוך SAP NetWeaver, ה-Metadata Uploader של Visual Composer, שמקבל תוכן מועלה ומשחזר אותו לאובייקט בזיכרון. לפי הרשומה, משתמש בעל הרשאות גבוהות יכול להעלות לשם תוכן זדוני, ובשלב השחזור הדבר עלול להוביל לשליטה במערכת המארחת. הציון הוא 9.1, ו-CISA סימנה אותה כמנוצלת יומיים בלבד אחרי שהרשומה פורסמה.
מה החולשה?
כששרת רוצה לשלוח אובייקט מורכב ברשת או לשמור אותו לדיסק, הוא משטח אותו לרצף בייטים. בצד השני מישהו צריך להרכיב אותו בחזרה, והרכבה כזאת אינה העתקה פשוטה: זו פעולה שבה השרת קורא מתוך הנתונים מה בדיוק לבנות ובאילו ערכים למלא אותו.
כאן נמצאת הבעיה. אם הנתונים הגיעו ממישהו שאינו אמור להכתיב לשרת מה לבנות, אפשר לבחור אותם כך שעצם ההרכבה תפעיל שרשרת פעולות שהתוקף מכוון אליה. לתבנית הזאת קוראים deserialization של נתונים לא מהימנים, והיא אחת הדרכים הוותיקות להפוך העלאת קובץ להרצת קוד.
הרשומה מצביעה על המקום המדויק, הרכיב ב-Visual Composer שאחראי לקליטת מטא-דאטה שהועלתה, ומנסחת את התוצאה כפגיעה בסודיות, בשלמות ובזמינות של המערכת המארחת. כלומר לא דליפה בלבד אלא שליטה.
תנאי אחד מצמצם כאן ופרט אחר מרחיב. מצמצם: לפי הווקטור נדרשות הרשאות גבוהות, כך שזו אינה פנייה אנונימית מהאינטרנט אלא ניצול שמתחיל מחשבון בעל מעמד במערכת. מרחיב: הווקטור מסמן גם שינוי היקף, כלומר הנזק אינו נעצר ברכיב שבו התחיל.
מי מושפע?
הרשומה נוקבת ב-SAP NetWeaver בגרסה 7.5.
NetWeaver היא שכבת התשתית שמערכות SAP רצות עליה, ובישראל היא יושבת בעיקר בארגונים גדולים ובגופים ציבוריים שמנהלים עליה תהליכים מרכזיים. זה אינו מוצר שמשתמש פרטי מפעיל, וזה חלק ממה שהופך אותו למטרה: מעט מערכות, כל אחת מהן שווה הרבה.
השאלה המעשית אינה רק אם יש לכם NetWeaver 7.5, אלא אם Visual Composer בשימוש אצלכם. הרשומה תולה את החולשה ברכיב הזה ולא בשכבה כולה.
האם מנוצלת בפועל?
כן. ב-15 במאי 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל. המועד שנקבע לגופים הפדרליים האמריקאיים לסיים את התיקון היה 5 ביוני 2025, פחות משלושה שבועות אחר כך.
שימו לב לתאריך הפרסום. הרשומה פורסמה ב-NVD ב-13 במאי 2025, יומיים בלבד לפני הכניסה לקטלוג. הידיעה על ניצול לא איחרה כאן אחרי הפרסום, היא הגיעה כמעט יחד איתו.
מה עושים?
1. אתרו קודם אילו מערכות NetWeaver 7.5 יש אצלכם ובאילו מהן Visual Composer מותקן ופעיל. זו הרשימה שהכול תלוי בה, ובארגון גדול היא כמעט תמיד ארוכה ממה שזוכרים.
2. התקינו את התיקון של SAP. שתי ההפניות שהרשומה מצרפת הן הודעת ה-Security Patch Day של SAP והערת האבטחה 3604119, ושם מופיעים התיקונים לפי גרסה.
3. עד שהתיקון מותקן, צמצמו את מי שיכול להגיע לרכיב ההעלאה. הרשומה קובעת שנדרשות הרשאות גבוהות, אז עברו על מי מחזיק בהן בפועל ועל השאלה אם המערכת נגישה מחוץ לרשת הארגונית.
4. אחרי העדכון בדקו מה הועלה. חולשה שמובילה לשליטה במערכת המארחת משאירה סימנים בצד השרת, והעדכון סוגר את הדרך פנימה בלי לנקות את מה שכבר נכנס.