CRITICAL🚩 CISA KEV⚡ EXPLOIT✓ PATCH🇬🇧 English

CVE-2025-31324

SAP NetWeaver: nieautoryzowany upload plików wykonywalnych w Visual Composer

CVSS 10.0v3.1pub. 2025-04-24upd. 2025-10-31

Podatność w komponencie Visual Composer Metadata Uploader systemu SAP NetWeaver umożliwia nieuwierzytelnionemu atakującemu przesłanie złośliwych plików wykonywalnych bez żadnej autoryzacji. Podatność otrzymała maksymalny wynik CVSS 10.0 i jest aktywnie wykorzystywana w atakach.

▸ Pokaż oryginał (EN)

SAP NetWeaver Visual Composer Metadata Uploader is not protected with a proper authorization, allowing unauthenticated agent to upload potentially malicious executable binaries that could severely harm the host system. This could significantly affect the confidentiality, integrity, and availability of the targeted system.

🤖 Analiza AI

Jak działa

Komponent Visual Composer Metadata Uploader w SAP NetWeaver nie wymaga uwierzytelnienia ani nie weryfikuje uprawnień przed przyjęciem przesyłanych plików. Atakujący może za pośrednictwem sieci (bez konieczności posiadania konta ani interakcji użytkownika) przesłać potencjalnie złośliwy plik wykonywalny bezpośrednio na serwer hosta. Brak kontroli autoryzacji (CWE-434 — unrestricted upload of file with dangerous type) sprawia, że przesłany plik może zostać uruchomiony w kontekście systemu operacyjnego serwera.

Skutki

Atakujący może całkowicie przejąć kontrolę nad serwerem — uzyskać pełny dostęp do danych (poufność), modyfikować lub niszczyć zasoby systemu (integralność) oraz doprowadzić do jego niedostępności (dostępność). Skuteczne wykorzystanie podatności może prowadzić do głębokiego naruszenia infrastruktury organizacji.

Mitygacja

Należy niezwłocznie zastosować patche dostępne u producenta zgodnie z SAP Security Note 3594142 (https://me.sap.com/notes/3594142) oraz wytycznymi SAP Security Patch Day. Ze względu na aktywną eksploatację w środowisku produkcyjnym aktualizacja powinna być wdrożona priorytetowo; do czasu instalacji łatki należy rozważyć ograniczenie dostępu sieciowego do komponentu Visual Composer.

Kogo dotyczy

SAP NetWeaver z komponentem Visual Composer Metadata Uploader — szczegółowe wersje wskazane w referencjach producenta (SAP Security Note 3594142)

Uwagi

Podatność znajduje się na liście CISA KEV jako aktywnie eksploatowana. Według referencji producenta i doniesień branżowych (Onapsis, BleepingComputer, The Register) podatność była wykorzystywana w atakach przed opublikowaniem oficjalnej łatki, co wskazuje na jej status zero-day.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Sap Netweaver
APP
Sap
7.50

CISA KEV — szczegółyi

Dostawcai: SAP
Produkti: NetWeaver
Data dodania do KEVi: 29 kwietnia 2025
Termin remediation (USA)i: 20 maja 2025(po terminie)
Ransomwarei: Aktywne kampanie ransomware używają tej podatności

🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami producenta, postępuj zgodnie z wytycznymi BOD 22-01 dotyczącymi usług chmurowych, lub zaprzestań używania produktu, jeśli mitygacje są niedostępne.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Opis CISAi

SAP NetWeaver Visual Composer Metadata Uploader zawiera lukę umożliwiającą nieograniczone przesyłanie plików, która pozwala niezalogowanemu agentowi na przesłanie potencjalnie złośliwych plików binarnych.

tłumaczenie AI

▸ Pokaż oryginał (EN)

SAP NetWeaver Visual Composer Metadata Uploader contains an unrestricted file upload vulnerability that allows an unauthenticated agent to upload potentially malicious executable binaries.

🔴