一 漏洞概述

2020年7月13日，SAP发布了一个安全更新，修复了一个SAP NetWeaver中的严重漏洞（CVE-2020-6287），CVSS评分为10分。

该漏洞源于SAP NetWeaver AS Java的Web组件中缺少身份验证。该漏洞可导致读取、修改和删除SAP系统的文件，并通过创建特权账户执行任意系统命令。此外，还可以更改SAP系统内用户的详细信息（帐号，IBAN等）和读取个人身份信息（PII）。

研究人员表示，此安全漏洞目前可能会影响40000多个SAP系统。SPA公司还发现至少有2500个易受攻击的SAP系统直接暴露于互联网，其中北美占33%，欧洲占29%和亚太占27%。

二 影响版本

SAP Enterprise Resource Planning

SAP Product Lifecycle Management

SAP Customer Relationship Management

SAP Supply Chain Management

SAP Supplier Relationship Management

SAP NetWeaver Business Warehouse

SAP Business Intelligence

SAP NetWeaver Mobile Infrastructure

SAP Enterprise Portal

SAP Process Orchestration/Process Integration)

SAP Solution Manager

SAP NetWeaver Development Infrastructure

SAP Central Process Scheduling

SAP NetWeaver Composition Environment

SAP Landscape Manager

三 复现过程

无

四 影响范围

根据 ZoomEye 网络空间搜索引擎对关键字 “SAP” 进行搜索，共得到 58,722 条 IP 历史记录，主要分布在美国、中国等国家。

五 修复建议

目前厂商已在“SAP One Support Launchpad”版本修复该漏洞

参考链接：https://accounts.sap.com/saml2/idp/sso

六 时间线

SAP官方发布安全公告时间：2020年7月13日

知道创宇发布漏洞情报时间：2020年7月14日

七 相关链接

SAP：https://us-cert.cisa.gov/ncas/alerts/aa20-195a

ZoomEye 网络空间搜索引擎：https://www.zoomeye.org/searchResult/report?q=app%3A%22SAP%22