SAPは、「PROXYGATE」と「ICM2SHELL」にまとめられた3件の重大な脆弱性を修正しました。これらを悪用されると、攻撃者は認証なしで、影響を受けるSAPシステムを制御できる恐れがあります。
BootROM脆弱性の修正
3件の脆弱性はOnapsis Research Labsが発見し、2026年11月10日に公開されました。いずれもCVSSスコアは10.0です。修正は11月のセキュリティ更新で提供されました。悪用に成功すると、SAPのインストールを所有するアカウントである<sid>admの権限で、OSコマンドを実行されます。
SAPのPROXYGATE・ICM2SHELLの脆弱性
どちらの攻撃も認証情報やユーザー操作を必要としませんが、影響を受ける条件は異なります。PROXYGATEはゲートウェイのプロキシポリシーに依存します。一方、ICM2SHELLはデフォルトのWebSocket処理に影響し、設定ミスがなくても攻撃が成立します。
Onapsisによると、アドバイザリの公開時点で、実際の悪用は確認されていません。同社は、詳細な悪用手順の公開も見送りました。
PROXYGATEはゲートウェイの信頼チェックを回避
PROXYGATE（CVE-2026-89103）は、SAP GatewayのCPI-C層に影響します。このゲートウェイは、Remote Function Call（RFC）の通信、外部RFCサーバーの登録、ヘルパープログラムの実行を処理します。カーネルコンポーネントは、ABAP、AS Java、デュアルスタック、スタンドアロンのゲートウェイシステムで動作します。メンテナンス対象外のリリースも含まれます。
細工したリクエストを送ると、外部の攻撃者が内部のアプリケーションサーバーであるかのように見せかけることができます。ゲートウェイは既存の信頼ルールを適用し、プログラムの実行を許可してしまいます。以前報告されたRFC認可の欠陥と異なり、この攻撃には認証済みのSAPアカウントが要りません。プログラムの起動を制御するsecinfoや、登録を制御するreginfoを強化しても、この信頼チェックの回避は防げません。
影響を受けるかどうかは、ゲートウェイ経由で中継される接続を制御するprxyinfoの設定次第です。制限的なルールであれば、信頼できないネットワークからの攻撃を阻止できます。一方、許容的なルールのままでは、パッチを適用していても危険です。このファイルが存在しない場合、gw/acl_mode_proxy=0によりプロキシアクセスが許可されます。対処方法はSAP Note 3798345とFAQ 3810197に記載されており、一般的にはカーネルの更新とgw/acl_mode_proxy=1の設定を組み合わせます。カーネル7.93と9.16は、すでにこのパラメータに対応しています。
ICM2SHELLは、Internet Communication ManagerのCVE-2026-76964と、Web DispatcherのCVE-2026-89126を指します。Web Dispatcherには、SAP HANA XSに組み込まれたディスパッチャーも含まれます。これらのコンポーネントは、HTTP、HTTPS、WebSocketの接続を処理する脆弱なカーネルコードを共有しています。SAPはSAP Note 3778530と3778556で対処しており、FAQ 3778788が補足しています。
WebSocketセッションはHTTPアップグレードリクエストで始まり、メッセージを複数のフラグメントに分割して送れます。フラグメントを再構築する際に、細工されたメッセージによって攻撃者の制御するデータが接続用に確保されたメモリ領域をあふれさせます。以前のNetWeaverのクラッシュ脆弱性とは異なり、研究者は認証なしのリモートコード実行が完全に可能であることを実証し、動作するエクスプロイトをSAPに提供しました。テストしたすべてのカーネルリリースで、クラッシュを再現できたということです。
セキュリティを学ぶ
WebSocketのサポートは、アプリケーションが使用していなくてもデフォルトで有効です。S/4HANAのデフォルトのICFサービスは認証なしの接続を受け付ける場合があり、ほかの経路では認証前にこの欠陥に到達します。Web Dispatcherはメッセージを自ら再構築するため、悪意あるトラフィックを単に転送するだけでなく、自身のメモリが危険にさらされます。1回の接続でプロセスをクラッシュさせられます。攻撃を繰り返せば、Fioriアプリケーション、API、ディスパッチャーの背後にあるすべてのバックエンドを使えない状態に保てます。
どちらの攻撃でも、データベースの認証情報、セキュアストア、インスタンスプロファイル、RFC接続先が漏えいする恐れがあります。攻撃者は業務データを改ざんしたり、接続先のシステムへ侵入を広げたり、永続化のためにバイナリを書き換えたり、データを破壊したりする可能性があります。
過去のSAP侵害キャンペーンは、ビジネスへの広範なリスクを示しています。インターネットに公開されたコンポーネントを優先し、すべてのアプリケーションサーバーとディスパッチャーにパッチを適用してください。あわせて、ゲートウェイのポート33NN/48NNを制限し、dev_icmやdev_webdispの予期しない再起動を調査することが重要です。icm/HTTP/support_websocket_upgrade=FALSEによる一時的な無効化は、再起動が必要で、連携機能に支障が出る可能性があります。パッチ適用の代わりにはなりません。
SOCにアラートの文脈を提供し、インシデントを迅速に止めましょう。16,000のSOCの脅威インテリジェンスを統合。
翻訳元: https://gbhackers.com/critical-sap-proxygate-and-icm2shell-vulnerabilities/
