En kritisk sikkerhedsfejl i SAP NetWeavers Visual Composer-komponent, identificeret som CVE-2025-31324, er blevet aktivt udnyttet af trusselsaktører.
Denne sårbarhed gør det muligt for uautoriserede angribere at uploade ondsindede filer, fører til potentielt komplet systemkompromis. SAP har udgivet en patch for at løse dette problem, og organisationer opfordres til at anvende det med det samme.
CVE-2025-31324 Teknisk oversigt
Sårbarheden ligger i /developmentserver/metadatauploader slutpunkt for SAP NetWeavers Visual Composer. På grund af manglende autorisationskontrol, angribere kan uploade ondsindede JSP-filer uden godkendelse. Når den er uploadet til servlet_jsp/irj/root/ Vejviser, disse filer kan udføres eksternt, giver angribere kontrol over systemet.
Udnyttelse i naturen
Sikkerhedsfirmaet ReliaQuest opdagede, at angribere udnytter dette SAP sårbarhed at implementere JSP web-shells, lette uautoriserede filuploads og kodeudførelse. Avancerede teknikker, herunder brugen af Brute Ratel og Heaven's Gate-metoden, er blevet observeret at opretholde persistens og undgå detektion. I nogle tilfælde, angribere har taget dage om at flytte fra første adgang til yderligere udnyttelse, foreslår inddragelse af indledende adgangsmæglere.
Indikatorer for kompromis (IOC'er)
- Uautoriseret adgangsforsøg til
/developmentserver/metadatauploadersti. - Uventede JSP-filer i
servlet_jsp/irj/root/Vejviser, såsomhelper.jspogcache.jsp. - Usædvanlige udgående forbindelser fra SAP-systemer.
Afhjælpningstrin
- Anvend patchen: Implementer SAP Security Note 3594142 til adressen CVE-2025-31324.
- Begræns adgang: Begræns adgangen til
/developmentserverendepunkt gennem firewall-regler. - Overvåg logs: Overvåg løbende SAP NetWeaver-logfiler for mistænkelige aktiviteter.
- Undersøg for Web Shells: Tjek jævnligt
servlet_jsp/irj/root/mappe for uautoriserede filer. - Deaktiver Visual Composer: Hvis den ikke er i brug, overveje at deaktivere Visual Composer-komponenten for at reducere angrebsflader.
Organisationer, der bruger SAP NetWeaver, bør prioritere disse afhjælpningstrin for at beskytte mod potentiel udnyttelse af denne kritiske sårbarhed.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: