Trusted Design

解説:

CVE-2017-12637について、以下の観点から解説します。

1. 脆弱性の概要

SAP NetWeaver Application Server Java 7.5のscheduler/ui/js/ffffffffbca41eb4/UIUtilJavaScriptJSコンポーネントにおけるディレクトリトラバーサル脆弱性です。これは、HTTPリクエストのクエリ文字列に".. (dot dot)"シーケンスを介して、リモートの攻撃者が任意のファイルを読み取ることができるというものです。本脆弱性は、システムがディレクトリトラバーサルを処理する際の不適切な入力検証に起因します。2017年8月には実際に悪用が確認されており、2025年3月19日にはCISAが不完全な緩和策のため、この脆弱性が活発に悪用されていると警告を発しました。

1.1 影響

攻撃者は影響を受けるシステムから任意のファイルを読み取ることができ、これにより不正アクセス、データ漏洩、およびシステム侵害の可能性があります。SAP Secure Storeに保存されている認証情報を含む機密データが窃取される可能性があります。また、基幹業務アプリケーションがスパイ活動やランサムウェア攻撃の標的となり、業務に支障をきたす可能性もあります。本脆弱性は機密性に影響を与えます。

1.2 深刻度

CVSSv3の基本スコアは7.7 (High) と評価されています。CVSSv3.1のスコアは7.5 (High) で、攻撃元区分はネットワーク、攻撃条件の複雑さは低、必要な特権レベルは不要、ユーザーインタラクションも不要、機密性への影響は高、完全性への影響はなし、可用性への影響はなし (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N) です。EPSS (Exploit Prediction Scoring System) による悪用される確率は95.1%と高い値を示しています。CISAのKnown Exploited Vulnerabilities Catalog (KEV) にも2025年3月19日からリストされており、2025年4月9日までの対応期限が設定されています。これは、この脆弱性が実際に悪用されていることを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性はSAP NetWeaver AS Javaに存在するため、特定のOSバージョンが直接影響を受けるわけではありません。しかし、攻撃者はこの脆弱性を悪用してターゲットとなるOS上の任意のファイルにアクセスできるため、OSのファイル探索を通じて基盤となるOSやそのバージョン、インストールされているソフトウェアを特定することが可能です。

2.2 影響を受ける設定

• SAP NetWeaver Application Server Java 7.5
• 特に、scheduler/ui/js/ffffffffbca41eb4/UIUtilJavaScriptJSコンポーネント
• 不適切な入力検証が原因です。
• SAP CPS 8.0 (by Redwood) も影響を受け、これはすでにサポートが終了し、SAP BPA 9.0に置き換えられています。

3. 影響を受けた時の兆候

• 攻撃者が既知の脆弱性を求めて複数のSAPシステムURLをプローブする。
• 脆弱なシステムが特定されると、すぐにSAPシステム固有のファイルが外部に流出する。
• 機密データや認証情報への不正アクセス。
• 基幹業務アプリケーションにおける業務の中断、スパイ活動、またはランサムウェア攻撃。
• ターゲットとなるオペレーティングシステム上での任意のファイルアクセスを示す証拠。
• 複数のディレクトリやファイルへのアクセス試行による、オペレーティングシステムレベルで利用可能なリソースのマッピング。
• 基盤となるOS、そのバージョン、インストールされているソフトウェアの特定。

4. 推奨対策

4.1 本対策

• SAPが提供する最新のセキュリティパッチとアップデートを適用してください。
• 具体的には、SAP Security Note 2486657を適用してください。
• すべてのコンポーネントが完全にパッチ適用されていることを確認するために、SAP Note 3476549を適用してください。
• 古いコンポーネントをアップグレードしてください。例えば、SAP CPS 8.0 (by Redwood) はSAP BPA 9.0に置き換えられています。
• CISAは、ベンダーの指示に従って緩和策を適用するか、クラウドサービスについてはBOD 22-01のガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止することを推奨しています。

4.2 暫定回避策（緩和策）

• Web Application Firewall (WAF) による保護を導入してください。WAFを展開することで、ディレクトリトラバーサルの脆弱性を悪用しようとする悪意のあるリクエストをブロックするのに役立ちます。AppTrana WAAPは、概念実証 (PoC) シミュレーション中に悪用試行を効果的に軽減しました。
• 使用されていない、または脆弱なコンポーネントを無効にしてください。ETPRJSCHEDULERコンポーネントを必要としないシステムでは、これを無効にすることができます。
• ファイアウォールによる対策も有効です。
• システムを隔離してください。

他に解説すべき観点

• CWE: CWE-22 (Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') - 制限されたディレクトリへのパス名の不適切な制限) に分類されています。
• 攻撃の容易性: 一般にエクスプロイトコードが公開されており、実際に広範囲で悪用されています。攻撃の複雑さは低く、認証なしで悪用可能です。
• ターゲット: SAP NetWeaver AS Javaは、基幹業務アプリケーションを実行するための基盤プラットフォームであり、インターネットに接続するように設計されています。

参照したサイト

• CVE-2017-12637: Exploitation of SAP NetWeaver Directory Traversal Vulnerability
• CVE-2017-12637 – SAP NetWeaver Directory Traversal Vulnerability –…
• CVE-2017-12637: SAP NetWeaver — directory traversal in the scheduler interface - SCRTY
• NVD-CVE-2017-12637 - NIST
• Directory traversal vulnerability in scheduler/ui/js... · CVE-2017-12637 - GitHub
• Active Exploitation of SAP Vulnerability CVE-2017-12637 - Onapsis
• CVE-2017-12637 SAP NetWeaver AS JAVA Query String UIUtilJavaScriptJS path traversal
• Path traversal in SAP NetWeaver - CVE-2017-12637 - Cybersecurity Help
• CVE-2017-12637.yaml - projectdiscovery/nuclei-templates - GitHub