Falsificación de Solicitud del Lado del Servidor en SAP NetWeaver Administrator (System Overview)

La explotación exitosa de este CVE permite a un atacante autenticado descubrir información sensible sobre la infraestructura interna de la red. Al enumerar los puntos finales HTTP internos, el atacante puede identificar servicios y aplicaciones que no deberían ser accesibles desde el exterior. Esta información puede ser utilizada para realizar ataques SSRF, permitiendo al atacante realizar solicitudes a recursos internos en nombre del servidor, potencialmente accediendo a datos confidenciales o interactuando con otros sistemas internos. Aunque el impacto en la disponibilidad es nulo, la exposición de información y la posibilidad de manipulación de datos internos representan un riesgo significativo. Este tipo de vulnerabilidad, aunque no directamente comparable a Log4Shell, comparte la capacidad de exponer información interna a través de una cadena de suministro de confianza.

Organizations heavily reliant on SAP NetWeaver for critical business processes are at significant risk. Specifically, environments with limited network segmentation or overly permissive firewall rules are more vulnerable. Those using older, unsupported versions of SAP NetWeaver Administrator(System Overview) are also at increased risk due to the lack of security updates.

• linux / server:

journalctl -u sapstartsrv -g "HTTP request"

• sap: Review SAP system logs for unusual HTTP requests originating from the NetWeaver Administrator component, specifically looking for requests to internal IP addresses or unusual hostnames. • generic web: Use curl to probe for internal endpoints. For example, curl -v http://<NetWeaverAdminIP>/<potentialinternalendpoint> and analyze the response headers and body for signs of internal resource exposure.

1. 2024-12-10Disclosure

   disclosure

1. Reservado2024-12-02
2. Publicada2024-12-10
3. EPSS actualizado2026-04-02

La mitigación principal para el CVE-2024-54197 es actualizar SAP NetWeaver Administrator a la versión 7.50.1 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización inmediata no es posible, se recomienda implementar medidas de seguridad adicionales, como restringir el acceso a la red interna desde el exterior mediante firewalls y reglas de acceso. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes HTTP sospechosas que intenten enumerar puntos finales internos. Verifique que la configuración de red limite el acceso a los servicios internos solo a las direcciones IP autorizadas. Después de la actualización, confirme que la enumeración de puntos finales internos ya no es posible mediante pruebas de penetración o escaneo de puertos.