Une faille de sécurité critique dans le composant Visual Composer de SAP NetWeaver, identifié comme CVE-2025-31324, a été activement exploité par des acteurs malveillants.
Cette vulnérabilité permet aux attaquants non authentifiés de télécharger des fichiers malveillants, conduisant à une compromission potentielle du système complet. SAP a publié un correctif pour résoudre ce problème, et les organisations sont invitées à l'appliquer immédiatement.
Présentation technique de la CVE-2025-31324
La vulnérabilité réside dans le /developmentserver/metadatauploader point de terminaison de Visual Composer de SAP NetWeaver. En raison de contrôles d'autorisation manquants, les attaquants peuvent télécharger des fichiers JSP malveillants sans authentification. Une fois téléchargé sur le servlet_jsp/irj/root/ annuaire, ces fichiers peuvent être exécutés à distance, accorder aux attaquants le contrôle du système.
Exploitation dans la nature
La société de sécurité ReliaQuest a découvert que les attaquants exploitent cette vulnérabilité SAP pour déployer des shells Web JSP, faciliter les téléchargements de fichiers non autorisés et l'exécution de code. Techniques avancées, y compris l'utilisation du Brute Ratel et de la méthode Heaven's Gate, ont été observés pour maintenir la persistance et échapper à la détection. Dans certains cas,, les attaquants ont mis des jours à passer de l'accès initial à une exploitation plus poussée, suggérant l'implication des courtiers d'accès initiaux.
Indicateurs de compromission (CIO)
- Tentatives d'accès non autorisées au
/developmentserver/metadatauploaderchemin. - Fichiers JSP inattendus dans le
servlet_jsp/irj/root/annuaire, commehelper.jspetcache.jsp. - Connexions sortantes inhabituelles des systèmes SAP.
Étapes d'atténuation
- Appliquer le patch: Mettre en œuvre la note de sécurité SAP 3594142 pour répondre à CVE-2025-31324.
- Accès restreint: Limiter l'accès à la
/developmentserverpoint de terminaison via les règles du pare-feu. - Journaux de surveillance: Surveillez en permanence les journaux SAP NetWeaver pour détecter les activités suspectes.
- Inspecter les shells Web: Vérifiez régulièrement le
servlet_jsp/irj/root/répertoire pour les fichiers non autorisés. - Désactiver Visual Composer: Si non utilisé, envisager de désactiver le composant Visual Composer pour réduire les surfaces d'attaque.
Les organisations utilisant SAP NetWeaver doivent prioriser ces mesures d'atténuation pour se protéger contre l'exploitation potentielle de cette vulnérabilité critique..
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: