- Aktif istismar
- CWE-444
CVE-2022-22536
SAP NetWeaver, ABAP Platform ve Web Dispatcher'da HTTP istek kaçırma (request smuggling) açığı
SAP SE SAP Content ServerSAP SE SAP NetWeaver and ABAP PlatformSAP SE SAP Web Dispatcher
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1721 gün
- Kaydı açan
- sap
Yönetici özeti
Bu açık, SAP sistemlerine kimlik doğrulaması olmadan internet üzerinden saldırı yapılmasına izin verir ve aktif olarak istismar edildiği bilinmektedir. Kullanıcılar adına yetkisiz işlem yapılması ve sistemin tamamen ele geçirilmesi riski vardır. Güncellemelerin gecikmeden uygulanması gerekir.
ÖzetTürkçe
SAP NetWeaver Application Server ABAP, SAP NetWeaver Application Server Java, ABAP Platform, SAP Content Server 7.53 ve SAP Web Dispatcher, HTTP istek kaçırma (request smuggling) ve istek birleştirme saldırılarına karşı savunmasızdır (CWE-444). Kimliği doğrulanmamış bir saldırı, bir kullanıcının isteğinin önüne rastgele veri ekleyebilir. Etkilenen sürümler arasında NetWeaver/ABAP Platform için 7.22, 7.22EXT, 7.49, 7.53, 7.77, 7.81, 7.85, 7.86, 7.87 ve 8.04 yer alır. Web Dispatcher için de benzer sürümler etkilenir. Açık CISA'nın bilinen istismar edilen açıklar (KEV) listesindedir.
Saldırgan ne yapabilir?
Saldırgan, mağdurun kimliğine bürünerek onun adına işlem yapabilir veya aradaki web önbelleklerini zehirleyebilir. Başarılı bir saldırı sistemin gizlilik, bütünlük ve erişilebilirlik özelliklerinin tamamen ihlal edilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
SAP NetWeaver Application Server ABAP, SAP NetWeaver Application Server Java, ABAP Platform, SAP Content Server 7.53 and SAP Web Dispatcher are vulnerable for request smuggling and request concatenation. An unauthenticated attacker can prepend a victim's request with arbitrary data. This way, the attacker can execute functions impersonating the victim or poison intermediary Web caches. A successful attack could result in complete compromise of Confidentiality, Integrity and Availability of the system.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- SAP'nin yayımladığı güvenlik güncellemelerini etkilenen tüm bileşenlere (NetWeaver Application Server ABAP/Java, ABAP Platform, Web Dispatcher ve Content Server 7.53) uygulayın; ayrıntılar için SAP destek portalındaki ilgili güvenlik notuna bakın. Genel öneri
- Güncellemeleri üretici talimatlarına göre uygulayın. CISA
- Güncelleme hemen yapılamıyorsa, etkilenen sistemlere internetten erişimi kısıtlayın ve bu sistemlerin önündeki ters vekil sunucu ile önbellek katmanlarının davranışını gözden geçirin. Genel öneri
Ek önlemler
- SAP Web Dispatcher ve NetWeaver sistemlerinizin sürümlerini envanterden kontrol edip etkilenen sürümleri önceliklendirin. Genel öneri
- Web sunucusu ve ters vekil günlüklerinde olağandışı veya hatalı biçimlenmiş HTTP isteklerini izleyin. Genel öneri
- SAP sistemlerini mümkün olduğunca ağ segmentasyonu ve WAF arkasında çalıştırın. Genel öneri
- Güncelleme sonrasında ara önbellekleri temizleyin; olası önbellek zehirlenmesinin etkisini ortadan kaldırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler3 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| SAP SE SAP Content Server | 7.53 | – |
| SAP SE SAP NetWeaver and ABAP Platform | 8.04 | – |
| 7.49 | – | |
| 7.53 | – | |
| 7.77 | – | |
| 7.81 | – | |
| 7.85 | – | |
| 7.86 | – | |
| 7.87 | – | |
| 7.22 | – | |
| 7.22EXT | – | |
| SAP SE SAP Web Dispatcher | 7.49 | – |
ve 7 satır daha
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.