🛡 概要
SAPは、NetWeaverソフトウェアソリューションに影響を与える3つの重大な脆弱性を含む21の新しい脆弱性を修正しました。これらの脆弱性は、企業のビジネスアプリケーションの基盤であるSAP NetWeaverに関連しており、特に重要です。中でも、CVE-2025-42944は最大の深刻度スコア10を持つ不正なデシリアライズの脆弱性です。この脆弱性により、認証されていない攻撃者が任意のOSコマンドを実行できる可能性があります。これにより、企業ネットワークにおけるセキュリティが脅かされるため、注意が必要です。
🔍 技術詳細
CVE-2025-42944は、SAP NetWeaverのRMIP4で発生する不正なデシリアライズの脆弱性です。この脆弱性を悪用すると、攻撃者はRMI-P4モジュールを介して悪意のあるJavaオブジェクトをオープンポートに送信することで、任意のOSコマンドを実行できます。また、CVE-2025-42922（CVSSスコア9.9）は、非管理者の認証ユーザーがファイルをアップロードできる脆弱性で、システム全体の危険を引き起こす可能性があります。さらに、CVE-2025-42958（CVSSスコア9.1）は、認証されていない高権限ユーザーが機密データにアクセスできる脆弱性です。これらの脆弱性は、SAP NetWeaverが広く展開されていることを考えると、非常に深刻な問題です。
⚠ 影響
SAP製品は大規模な組織によって展開され、重要なデータを扱うことが多いため、攻撃者にとって高価値のターゲットとなります。これらの脆弱性は、特にネットワークの設定ミスやファイアウォールの誤設定によって、外部からアクセス可能になることがあります。CVE-2025-42957のようなコードインジェクション脆弱性が悪用されることで、S/4HANAやBusiness Oneなどの製品に対する攻撃が発生する可能性があり、システムの完全な侵害が懸念されます。これにより、企業の運営に深刻な影響を及ぼす可能性があります。
🛠 対策
システム管理者は、SAPが提供するパッチと緩和策を速やかに適用することが推奨されます。特に、CVE-2025-42944、CVE-2025-42922、CVE-2025-42958の3つの重大な脆弱性に対する対策を講じることが重要です。これにより、企業ネットワークのセキュリティを強化し、潜在的な攻撃から保護することが可能です。また、ファイアウォールの設定を見直し、オープンポートの管理を徹底することで、さらなるリスクを軽減することができます。
