概要
SAP NetWeaver Application Server for ABAP (AS ABAP) に、Server-Side Request Forgery (SSRF) の脆弱性 (CVE-2026-24316) が報告されています。この脆弱性は、テスト目的で提供されているABAPレポートが、任意の内部または外部エンドポイントへのHTTPリクエスト送信を許可することに起因します。悪用された場合、攻撃者はこのレポートを介して、通常は直接アクセスできない内部システムやサービスに対してリクエストを送信できる可能性があります。CVSSv3スコアは6.4で、深刻度は「MEDIUM」と評価されています。
影響範囲
SAP NetWeaver Application Server for ABAP を利用しているシステムが影響を受ける可能性があります。具体的な影響を受ける製品バージョンについては、SAPが提供する公式情報を参照することが重要です。
想定される影響
攻撃が成功した場合、機密性の高い内部エンドポイントとの意図しないやり取りが発生する可能性があります。これにより、内部ネットワーク内の他のシステムに対するポートスキャン、情報漏洩、または特定のサービスへの不正なリクエスト送信などにつながる可能性があります。報告によると、データ機密性と完全性への影響は低いとされています。アプリケーションの可用性への影響はないとされています。
攻撃成立条件・悪用状況
攻撃者は、脆弱性のあるABAPレポートにアクセスできる必要があります。このレポートを悪用し、任意のURLへのHTTPリクエストを生成・送信することで、SSRF攻撃が成立します。現在のところ、この脆弱性の具体的な悪用状況に関する詳細な情報は公開されていません。
推奨対策
【最優先】SAPが提供するセキュリティパッチの適用
- SAPから提供される公式のセキュリティパッチを速やかに適用してください。これが最も効果的な対策となります。
- パッチの適用にあたっては、事前にテスト環境での十分な検証を実施してください。
【中長期】システム構成の見直しとアクセス制御の強化
- SAP NetWeaver AS ABAPへのアクセスを最小限に制限し、不要なユーザーやシステムからのアクセスを遮断してください。
- ネットワークレベルでのアクセス制御（ファイアウォールルールなど）を強化し、内部システムへの不必要な通信経路を制限することを検討してください。
- テスト目的のレポートや機能について、本番環境での利用の必要性を再評価し、不要であれば無効化または削除を検討してください。
一時的な緩和策
脆弱性のあるABAPレポートへのアクセス権限を厳格化し、信頼できる管理者のみが実行できるように制限することが考えられます。Webアプリケーションファイアウォール (WAF) などを用いて、外部からの不審なHTTPリクエストを検知・ブロックするルールを設定することも、一時的な緩和策として有効な場合があります。ただし、これは根本的な解決にはなりません。
確認方法
SAPが提供するセキュリティノートやパッチ情報で、自身のシステムが脆弱性の影響を受けるバージョンであるかを確認してください。システムログやネットワークトラフィックを監視し、不審なHTTPリクエストや内部システムへのアクセスがないかを確認することも有効です。
参考情報
- CVE-2026-24316 詳細情報: https://cvefeed.io/vuln/detail/CVE-2026-24316
- SAP Security Notes (関連するSAP Security Noteの番号が公開され次第、追記してください)