ביום התיקונים של נובמבר פרסמה SAP תיקונים לארבע פגיעויות בציון CVSS 10.0, כולן ניתנות לניצול בלי אימות. שתיים מהן עלולות להוביל להרצת קוד. הפרסומים שבדקנו אינם מציינים ניצול בפועל או קוד הוכחה פומבי.
| מזהה | רכיב | חומרה | הערה |
|---|---|---|---|
| CVE-2026-76964 | ICM ב-NetWeaver AS ABAP (SAP Note 3778530) | 10.0 (קריטית) | כתיבה מחוץ לגבולות ב-heap דרך מסגרות WebSocket פגומות |
| CVE-2026-89126 | SAP Web Dispatcher (Note 3778556) | 10.0 (קריטית) | אותה בעיית שורש כמו ב-ICM |
| CVE-2026-89103 | SAP Gateway (Note 3798345) | 10.0 (קריטית) | רשימות ACL ברירת מחדל סומכות על שרתי האפליקציה של המערכת |
| CVE-2026-120017 | SAML2 ב-AS ABAP (Note 3849308) | 10.0 (קריטית) | בהגדרות מסוימות אין אימות חתימה על assertions |
מנוצל בפועל: לא פורסם. סטטוס תיקון: תיקונים זמינים בהערות האבטחה של SAP.
מה קרה
שתי הפגיעויות הראשונות חולקות שורש: טיפול שגוי במסגרות בקרה של WebSocket לפני כניסה למערכת, שעלול לאפשר הרצת קוד. הפגיעות ב-Gateway מאפשרת לתוקף חיצוני להתחזות לשרת אפליקציה פנימי, ובפגיעות ה-SAML2 תוקף עלול להיכנס בזהות כל משתמש, כולל מורשה גבוה.
חברת RedRays פרסמה ניתוח לכל אחת מהן, ובו המלצות ביניים למי שאינו יכול לעדכן מיד.
נקודות לשים לב
- מצא את כל מופעי Web Dispatcher בארגון, כולל אלה המשובצים ב-HANA XS; מופע אחד שהוחמץ משאיר את הפגיעות פתוחה.
- אם אי אפשר לעדכן מיד, השבתת תמיכת WebSocket חוסמת את שתי הפגיעויות הראשונות, אך פוגעת בפיצ'רים כמו ABAP Push Channels ובחלק מ-Fiori.
- ב-Gateway בקרנלים עד 7.77 התיקון מוסיף את הפרמטר
gw/acl_mode_proxy; אחרי העדכון ודא ש-gw/acl_modeהוא 1 וחסום את פורט ה-Gateway מרשתות משתמשים ומהאינטרנט. - לכל מערכת AS ABAP עם כניסת SAML2 בדפדפן: עדכן, ובדוק ביומנים כניסות מורשות ממקורות לא צפויים. אין עקיפה מתועדת.
- את רשימת הגרסאות המושפעות המלאה (קרנלים 7.53 עד 9.20, ו-SAP_BASIS 702–922) קח מהערות SAP עצמן, שדורשות כניסה לחשבון SAP.
מקורות: The Hacker News · RedRays · SAP Security Notes
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
