Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-306

CVE-2020-6287

SAP NetWeaver AS JAVA LM Configuration Wizard'da kimlik doğrulama eksikliği

SAP SE SAP NetWeaver AS JAVA (LM Configuration Wizard)

Kritik 10,0 CVSS 3.0
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2297 gün
Kaydı açan
sap
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022.

Yönetici özeti

Bu açık, dışarıdan herhangi bir kişinin şifre bilmeden SAP sistemine yönetici olarak erişmesine imkân tanır ve halihazırda saldırılarda kullanılmaktadır. Finans, insan kaynakları ve operasyon verileri risk altında olabilir. Yama gecikmeden uygulanmalıdır.

ÖzetTürkçe

SAP NetWeaver AS JAVA bileşenindeki LM Configuration Wizard, kritik işlevler için kimlik doğrulama denetimi yapmıyor (CWE-306). Kimliği doğrulanmamış bir saldırgan, SAP Java sistemi üzerinde yapılandırma görevleri çalıştırabiliyor ve yönetici yetkisine sahip yeni bir kullanıcı oluşturabiliyor. Etkilenen sürümler 7.30, 7.31, 7.40 ve 7.50'dir. Açık CISA KEV listesine eklenmiştir, yani aktif olarak istismar edilmektedir.

Saldırgan ne yapabilir?

Saldırgan ağ üzerinden, kimlik bilgisi gerekmeden yönetici kullanıcı oluşturarak SAP sistemini tamamen ele geçirebilir. Bu durum sistemin gizliliğini, bütünlüğünü ve erişilebilirliğini tehlikeye atar.

Kaynaktaki açıklama (İngilizce)

SAP NetWeaver AS JAVA (LM Configuration Wizard), versions - 7.30, 7.31, 7.40, 7.50, does not perform an authentication check which allows an attacker without prior authentication to execute configuration tasks to perform critical actions against the SAP Java system, including the ability to create an administrative user, and therefore compromising Confidentiality, Integrity and Availability of the system, leading to Missing Authentication Check.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. SAP'nin yayımladığı güvenlik güncellemesini uygulayın; etkilenen NetWeaver AS JAVA 7.30, 7.31, 7.40 ve 7.50 sürümleri için üreticinin düzeltilmiş sürümlerine geçin. Üretici
  2. CISA'nın gerekli eylemi doğrultusunda güncellemeleri üreticinin talimatlarına göre uygulayın. CISA
  3. Yama uygulanana kadar SAP sisteminin internetten ve güvenilmeyen ağlardan erişimini kısıtlayın. Genel öneri
  4. Güncellemeden sonra sistemde yetkisiz oluşturulmuş yönetici kullanıcı olup olmadığını kontrol edin. Genel öneri

Ek önlemler

  • SAP yönetim ve yapılandırma arayüzlerini yalnızca iç ağdan veya VPN üzerinden erişilebilir tutun. Genel öneri
  • Kullanıcı hesaplarında beklenmeyen yönetici eklemelerini ve yapılandırma değişikliklerini düzenli olarak izleyin. Genel öneri
  • SAP güvenlik notlarını düzenli takip edin ve yama sürecini hızlandırın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
SAP SE SAP NetWeaver AS JAVA (LM Configuration Wizard) < 7.30 7.30
< 7.31 7.31
< 7.40 7.40
< 7.50 7.50

Kaynaklar7 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.