高危SAP NetWeaver漏洞遭疑似初始访问中介组织利用（CVE-2025-31324）
网络安全研究人员发现，攻击者正在积极利用SAP NetWeaver平台中的高危漏洞CVE-2025-31324上传恶意Webshell，实现未授权文件上传和代码执行。
漏洞概况
SAP NetWeaver是支撑众多SAP业务应用程序的基础平台。CVE-2025-31324存在于Visual Composer工具中，具体源于其元数据上传组件（Metadata Uploader）缺乏适当的授权检查机制。该缺陷使得未经认证的攻击者可以向主机系统上传恶意文件，并以管理员权限执行命令。
Onapsis研究人员指出："该漏洞可通过HTTP/HTTPS协议利用，甚至能通过互联网发起攻击。攻击者会向_/developmentserver/metadatauploader_ URL发送精心构造的POST请求。"
"获取管理员权限后，攻击者能以SAP应用服务器进程的用户身份和权限，未经授权访问底层SAP操作系统。这意味着攻击者可以不受限制地访问所有SAP资源（包括SAP系统数据库），执行关闭SAP应用或部署勒索软件等操作。此外，攻击者还能以该系统为跳板，利用SAP系统的互联特性渗透网络内部其他系统。"
该漏洞影响SAP NetWeaver 7.xx系列版本。
攻击活动分析
ReliaQuest公司在多家客户本月遭遇攻击后展开调查，发现攻击者实施了以下行为：
将.jsp格式的Webshell（如_helper.jsp_或_cache.jsp_）上传至**j2ee/cluster/apps/sap.com/irj/servletjsp/irj/root/**目录
发送GET请求触发执行
使用Brute Ratel工具和Heaven's Gate技术建立命令控制通信，实施攻击后行动，并规避终端安全解决方案的检测
ReliaQuest研究人员认为："有案例显示，攻击者从初始入侵到后续行动间隔了数天。基于这种延迟特征，我们判断攻击者可能是专门获取并转售系统访问权限的初始访问中介组织。"
应对措施
SAP解决方案通常部署在本地环境中，主要用户为大型企业和政府机构。Shadowserver基金会数据显示，目前互联网上存在约450个易受攻击的SAP NetWeaver实例，主要分布在美国、印度、澳大利亚、中国和欧洲地区。
管理员应立即采取以下措施：
安装SAP于4月24日发布的紧急补丁
若无法立即打补丁，应限制对元数据上传组件的访问
停用非必要使用的Visual Composer工具
SAP安全公告（[1]、[2]）提供了入侵指标检测指南。需特别注意**\root**、\work和work\sync目录中的"jsp"、"java"或"class"文件，这些应视为恶意文件。若发现入侵证据，需扩大调查范围确定其他受影响系统，并进行清理。
Onapsis公司已发布开源扫描工具，可帮助组织检测SAP Netweaver实例是否包含受影响组件、是否已打补丁，以及是否存在已知Webshell。
本文链接：https://www.xuan5.com/news/article/153.html 文章声明：本站内容均来自网络收集，如有侵权请联系我们删除下架处理。文内含有的对外跳转链接（包括不限于超链接、二维码、口令等形式），用于传递更多信息，结果仅供参考，玄武统计所有文章均包含本声明。