【ITニュース解説】SAP fixes maximum severity NetWeaver command execution flaw

世界中の大企業で、会計、販売、在庫管理といった基幹業務を支えるために広く利用されているSAP社のソフトウェア製品において、複数のセキュリティ上の弱点、すなわち脆弱性が発見され、同社によって修正プログラムが公開された。今回発見された21件の脆弱性の中には、危険度が最高レベルに分類される極めて深刻なものが含まれており、企業システムに重大な影響を及ぼす可能性があった。

まず、SAPとは何かを理解する必要がある。SAPは、企業の経営資源である「ヒト・モノ・カネ・情報」を一元管理し、効率的な経営を支援するための統合基幹業務システム（ERP）を提供する世界的なソフトウェア企業である。その製品は、世界中の製造業、金融、小売など、あらゆる業種のトップ企業で導入されており、まさに企業の心臓部ともいえる役割を担っている。今回のニュースで特に注目された「NetWeaver」は、そのSAPシステムを動かすための技術的な基盤となるプラットフォームソフトウェアである。アプリケーションを開発・実行するための土台であり、OSやミドルウェアに近い役割を果たすものと考えると分かりやすい。次に、「脆弱性」とは、ソフトウェアの設計ミスやプログラムの不具合によって生じるセキュリティ上の欠陥のことである。この欠陥を放置すると、悪意のある第三者、いわゆる攻撃者によって悪用され、不正なアクセス、機密情報の漏洩、データの改ざんや破壊、システムの停止といった深刻な被害を引き起こす可能性がある。

今回報告された脆弱性の中で最も深刻なものは、「CVE-2024-37177」という識別番号が付けられた脆弱性である。この脆弱性の危険度は、共通脆弱性評価システム（CVSS）という世界共通の指標で「10.0」と評価された。これは満点のスコアであり、考えられる限り最も危険なレベルの脆弱性であることを意味する。この脆弱性は、NetWeaver Application Server for Javaというコンポーネントに存在し、「OSコマンドインジェクション」と呼ばれる種類のものであった。OSコマンドインジェクションとは、攻撃者がアプリケーションの入力フォームなどを通じて、サーバーのオペレーティングシステム（OS）を直接操作するための命令文（コマンド）を不正に送り込み、実行させてしまう攻撃手法である。通常、アプリケーションは利用者が入力したデータを処理するが、この脆弱性がある場合、入力データがOSへの命令文として誤って解釈・実行されてしまう。これにより、攻撃者はネットワーク経由で、まるでサーバーを直接操作しているかのように、任意のコマンドを実行できる状態になる。具体的には、サーバー内の機密ファイルを盗み出したり、データを改ざん・削除したり、システムを停止させたり、さらには他のシステムへの攻撃の踏み台にしたりと、ほぼ全ての不正行為が可能になる。システムの機密性、完全性、可用性の全てが完全に侵害される危険性があるため、CVSSスコアが最高値の10.0と評価されたのである。さらに深刻なのは、この攻撃を行うために特別な権限や認証情報（IDやパスワード）が不要であるという点だ。つまり、インターネットからアクセスできる状態であれば、誰でもこの脆弱性を悪用してシステムを乗っ取ることが可能であった。

この他にも、深刻度の高い脆弱性が複数修正されている。例えば、「CVE-2024-34698」は、SAP Financial Consolidationという財務連結システムに存在する「SQLインジェクション」の脆弱性である。これは、アプリケーションが連携しているデータベースに対して、不正な命令文（SQL）を送り込むことで、データベースを不正に操作する攻撃手法だ。これにより、データベースに保存されている財務情報などの機密データが盗まれたり、改ざんされたりする危険性があった。また、「CVE-2024-39682」は、生産管理関連のシステムにおける「クロスサイトスクリプティング（XSS）」の脆弱性である。これは、Webサイトの脆弱性を利用して、悪意のあるスクリプトを埋め込み、そのサイトを訪れた他の利用者のブラウザ上で実行させる攻撃だ。これにより、利用者の個人情報が盗まれたり、偽のログインページに誘導されたりする被害が発生する可能性がある。

これらの脆弱性に対して、SAPは修正プログラムである「セキュリティパッチ」をすでに公開している。SAP製品を利用している企業は、自社のシステムが影響を受けるかどうかを確認し、可及的速やかにこのセキュリティパッチを適用することが強く推奨される。脆弱性の情報が公開されると、それを悪用しようとする攻撃者の活動が活発化するため、パッチを適用せずにシステムを放置することは極めて危険である。システムエンジニアを目指す者にとって、今回のニュースは重要な教訓を含んでいる。第一に、自らが開発・運用するシステムにおいて、OSコマンドインジェクションやSQLインジェクションのような典型的な脆弱性を作り込まないためのセキュアコーディングの知識が不可欠であること。第二に、今回のように、利用しているソフトウェアに新たな脆弱性が発見された場合、その情報を迅速にキャッチアップし、危険度を評価し、テストを行った上で速やかにパッチを適用するといった、運用保守におけるセキュリティ対応能力が極めて重要であることだ。企業の基幹システムを守ることは、技術者としての重大な責務であり、セキュリティは開発から運用までの全ての工程で常に考慮すべき最優先事項の一つなのである。