GISTian

Creating limitless possibilities through research and education

"죽음 앞에서 담담해질 수 있는 것은…" 한희원 작가 초대전 '生, 존재로부터' GIST 오룡아트홀에서 열려

이은지 교수, 대한화학회 고분자화학분과회 학술진보상 수상

Vision

Research

[보안권고문 권고2022-047] SAP NetWeaver, Content Server, Web Dispatcher에서 발생하는 HTTP Request Smuggling 취약점

보안 권고문

□ 개요

o SAP社는 자사 제품의 취약점을 해결한 보안 업데이트 공지 [1]

o 공격자는 취약점을 악용하여 피해를 발생시킬 수 있으므로, 해당 제품을 사용하는 이용자들은 최신 버전으로 업데이트 권고

□ 설명

o SAP NetWeaver, Content Server, Web Dispatcher에서 발생하는 HTTP Request Smuggling 취약점 (CVE-2022-22536)

o SAP 제품에서 발생하는 원격 코드 실행 취약점 (CVE-2021-44228) 등 4개

o SAP Focused Run에서 발생하는 인증 확인 누락 취약점 (CVE-2022-24396)

o SAP Fiori launchpad에서 발생하는 크로스 사이트 스크립팅(XSS) 취약점 (CVE-2022-26101)

o SAP S/4HANA에서 발생하는 정보 누출 취약점 (CVE-2022-22542)

o SAP NetWeaver Enterprise Portal에서 발생하는 크로스 사이트 스크립팅(XSS) 취약점 (CVE-2022-24395) 등 2개

o SAP Financial Consolidation에서 발생하는 인증 확인 누락 취약점 (CVE-2022-26104)

o SAP NetWeaver Application Server for ABAP에서 발생하는 인증 확인 누락 취약점 (CVE-2022-26102)

o SAP Focused Run에서 발생하는 크로스 사이트 스크립팅(XSS) 취약점 (CVE-2022-24399) 및 정보 누출 취약점 (CVE-2022-22547)

o SAP Business Objects Business Intelligence Platform에서 발생하는 정보 누출 취약점 (CVE-2022-24398)

o SAPCAR에서 발생하는 서비스 거부(DoS) 취약점 (CVE-2022-26100)

o SAP NetWeaver에서 발생하는 정보 누출 취약점 (CVE-2022-26103)

□ 영향을 받는 버전 및 제품

CVE-ID	영향받는 제품	버전
CVE-2022-22536	SAP Web Dispatcher	7.49, 7.53, 7.77, 7.81, 7.85, 7.22EXT, 7.86, 7.87
	SAP Content Server	7.53
	SAP NetWeaver and ABAP Platform	KERNEL 7.22, 8.04, 7.49, 7.53, 7.77, 7.81, 7.85, 7.86, 7.87, KRNL64UC 8.04, 7.22, 7.22EXT, 7.49, 7.53, KRNL64NUC 7.22, 7.22EXT, 7.49
CVE-2021-44228 등 4개	SAP Work Manager	6.4, 6.5, 6.6
CVE-2021-44228 등 4개	SAP Inventory Manager	4.3, 4.4
CVE-2022-24396	Simple Diagnostics Agent	1
CVE-2022-26101	Fiori Launchpad	754, 755, 756
CVE-2022-22542	SAPS/4HANA(Supplier Factsheet and Enterprise Search for Business Partner, Supplier and Customer)	104, 105, 106
CVE-2022-24395	SAP NetWeaver Enterprise Portal	7.10, 7.11, 7.20, 7.30, 7.31, 7.40, 7.50
CVE-2022-24397	SAP NetWeaver Enterprise Portal	7.30, 7.31, 7.40, 7.50
CVE-2022-26104	SAP Financial Consolidation	10.1
CVE-2022-26102	SAP NetWeaver Application Server for ABAP	700, 701, 702, 731
CVE-2022-24399	SAP Focused Run	200, 300
CVE-2022-22547	Simple Diagnostics Agent	1.0 이상 1.58 미만
CVE-2022-24398	SAP Business Objects Business Intelligence Platform	420, 430
CVE-2022-26100	SAPCAR	7.22
CVE-2022-26103	SAP NetWeaver AS JAVA (Portal Basis)	7.5

□ 해결방안

o 제조사 홈페이지를 참고하여 최신버전으로 업데이트

□ 기타 문의사항

o 정보보안팀(☎5072, cert@gist.ac.kr)

□ 참고사이트

[1] https://dam.sap.com/mac/app/e/pdf/preview//ucQrx6G?ltr=a&rc=10

정보보호최고책임자(학술정보처장)

수정 답변 쓰기 삭제 목록