Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-22
  • CWE-23

CVE-2021-38163

SAP NetWeaver Visual Composer'da kısıtsız dosya yükleme açığı

SAP SE SAP NetWeaver (Visual Composer 7.0 RT)

Kritik 9,9 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
1870 gün
Kaydı açan
sap
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 9 Haz 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 30 Haz 2022.

Yönetici özeti

Düşük yetkili bir kullanıcı hesabıyla bile SAP sunucusunun ele geçirilmesi mümkündür ve açığın gerçek saldırılarda kullanıldığı bilinmektedir. Kritik iş verileri okunabilir, değiştirilebilir veya sistem hizmet dışı bırakılabilir. Güncellemenin gecikmeden uygulanması önerilir.

ÖzetTürkçe

SAP NetWeaver Visual Composer 7.0 RT bileşeninin 7.30, 7.31, 7.40 ve 7.50 sürümlerinde dosya yüklemesi yeterince kısıtlanmamaktadır. Yönetici olmayan, kimliği doğrulanmış bir kullanıcı ağ üzerinden zararlı bir dosya yükleyip işlenmesini tetikleyebilir. Açık CISA tarafından bilinen ve istismar edilen açıklar (KEV) listesine eklenmiştir ve bu sürümleri çalıştıran SAP sistemleri etkilenir.

Saldırgan ne yapabilir?

Saldırgan, Java sunucu sürecinin yetkileriyle işletim sistemi komutları çalıştırabilir. Bu sayede sunucudaki bilgileri okuyabilir veya değiştirebilir ya da sunucuyu devre dışı bırakabilir.

Kaynaktaki açıklama (İngilizce)

SAP NetWeaver (Visual Composer 7.0 RT) versions - 7.30, 7.31, 7.40, 7.50, without restriction, an attacker authenticated as a non-administrative user can upload a malicious file over a network and trigger its processing, which is capable of running operating system commands with the privilege of the Java Server process. These commands can be used to read or modify any information on the server or shut the server down making it unavailable.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. SAP'nin bu açık için yayımladığı güvenlik notunu ve düzeltmesini SAP destek portalından edinin ve etkilenen NetWeaver Visual Composer sistemlerine uygulayın. Genel öneri
  2. CISA'nın gerekliliği doğrultusunda güncellemeleri üretici talimatlarına göre uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa Visual Composer bileşenine erişimi güvenilir ağlarla ve gerekli kullanıcılarla sınırlayın veya bileşeni kullanılmıyorsa devre dışı bırakın. Genel öneri

Ek önlemler

  • Yönetici olmayan kullanıcı hesaplarını gözden geçirin, kullanılmayan hesapları kapatın ve yetkileri en aza indirin. Genel öneri
  • SAP sunucularında beklenmeyen dosya yüklemelerini ve Java sunucu sürecinin başlattığı olağandışı komutları izleyin. Genel öneri
  • SAP NetWeaver sistemlerini doğrudan internete açmayın; ağ segmentasyonu ve güvenlik duvarı kuralları uygulayın. Genel öneri
  • Sistemin daha önce ele geçirilip geçirilmediğini anlamak için güncelleme öncesi döneme ait günlükleri inceleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
SAP SE SAP NetWeaver (Visual Composer 7.0 RT) 7.30 –
7.31 –
7.40 –
7.50 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.