□ 개요
 o SAP社는 자사 제품의 취약점을 해결한 보안 업데이트 공지 [1]
 o 공격자는 취약점을 악용하여 피해를 발생시킬 수 있으므로, 해당 제품을 사용하는 이용자들은 최신 버전으로 업데이트 권고

□ 설명
 o SAP NetWeaver, ABAP Platform의 SAProuter에서 발생하는 부적절한 접근 제어 취약점 (CVE-2022-27668)
 o SAP PowerDesigner Proxy에서 발생하는 권한 상승 취약점 (CVE-2022-31590)
 o ABAP, ABAP Platform의 SAP NetWeaver Application Server에서 발생하는 인증 확인 누락 취약점 (CVE-2022-29611)
 o SAP NetWeaver Development Infrastructure에서 발생하는 크로스 사이트 스크립팅(XSS) 취약점 (CVE-2022-29618)
 o SAP NetWeaver, ABAP Platform, SAP Host Agent에서 발생하는 SSRF (Server-Side Request Forgery) 취약점 (CVE-2022-29612)
 o SHAAM 프로그램에서 발생하는 부적절한 권한 부여 취약점 (CVE-2022-31589)
 o SAP Financial Consolidation에서 발생하는 권한 상승 취약점 (CVE-2022-31595)
 o SAP NetWeaver AS ABAP, AS Java, ABAP Platform, HANA Data의 SAP startservice에서 발생하는 권한 상승 취약점 (CVE-2022-29614)
 o SAP Netweaver Developer Studio (NWDS)의 Apache log4j 1.x 구성 요소에서 발생하는 다중 취약점 (CVE-2022-29615)
 o SAP Adaptive Server Enterprise (ASE)에서 발생하는 권한 상승 취약점 (CVE-2022-31594)

□ 영향을 받는 버전 및 제품

	

		

			
CVE-ID
			
영향받는 제품
			
버전
		
		

			
CVE-2022-27668
			
SAP NetWeaver, ABAP Platform
			
KERNEL 7.49, 7.77, 7.81, 7.85, 7.86, 7.87, 7.88, KRNL64NUC 7.49, KRNL64UC 7.49, SAP_ROUTER 7.53, 7.22
		
		

			
CVE-2022-31590
			
SAP PowerDesigner Proxy
			
16.7
		
		

			
CVE-2022-29611
			
SAP NetWeaver Application Server for ABAP, ABAP Platform
			
700, 701, 702, 710, 711, 730, 731, 740, 750, 751, 752, 753, 754, 755, 756, 787, 788
		
		

			
CVE-2022-29618
			
SAP NetWeaver Development Infrastructure (Design Time Repository)
			
7.30, 7.31, 7.40, 7.50
		
		

			
CVE-2022-29612
			
SAP NetWeaver, ABAP Platform, SAP Host Agent
			
KERNEL 7.22, 7.49, 7.53, 7.77, 7.81, 7.85, 7.86, 7.87, 7.88, 8.04, KRNL64NUC 7.22, 7.22EXT, 7.49, KRNL64UC 7.22, 7.22EXT, 7.49, 7.53, 8.04, SAPHOSTAGENT 7.22
		
		

			
CVE-2022-31589
			
SAP ERP, localization for CEE countries
			
C-CEE 110_600, 110_602, 110_603, 110_604, 110_700
		
		

			
SAP Financials
			
SAP_FIN 618, 720
		
		

			
SAP S/4Hana Core
			
S4CORE 100, 101, 102, 103, 104, 105, 106, 107, 108
		
		

			
CVE-2022-31594

			CVE-2022-31595
			
SAP Adaptive Server Enterprise (ASE)
			
KERNEL 7.22, 7.49, 7.53, KRNL64NUC 7.22, 7.22EXT, 7.49, KRNL64UC 7.22, 7.22EXT, 7.49, 7.53
		
		

			
CVE-2022-29614
			
SAP NetWeaver AS ABAP, AS Java, ABAP Platform, HANA Dataþase
			
KERNEL 7.22, 7.49, 7.53, 7.77, 7.81, 7.85, 7.86, 7.87, 7.88, KRNL64NUC 7.22, 7.22EXT, 7.49, KRNL64UC 7.22, 7.22EXT, 7.49, 7.53, SAPHOSTAGENT 7.2
		
		

			
CVE-2022-29615
			
SAP NetWeaver Developer Studio (NWDS)
			
7.50
		
	

□ 해결방안
 o 제조사 홈페이지를 참고하여 최신버전으로 업데이트

□ 기타 문의사항
 o 한국인터넷진흥원 사이버민원센터: 국번없이 118

[참고사이트]
[1] https://dam.sap.com/mac/app/e/pdf/preview//ucQrx6G?ltr=a&rc=10


□ 작성 : 침해사고분석단 취약점분석팀