Drupal コメントモジュールDoS脆弱性 (CVE-2024-22133) | 9.5.9まで

SAP Fiori Front End Server (バージョン605) の CVE-2024-22133 は、休業申請情報を送信する際に、読み取り専用フィールドで承認者の詳細を変更することを許可します。攻撃者はこれを悪用して、承認者が間違っている申請を作成し、機密性と完全性への影響は低いものの、可用性への影響はありません。これにより、許可されていない担当者が申請を承認し、ワークフロープロセスが中断される可能性があります。この脆弱性は、適切な入力検証の欠如に起因し、承認者フィールドの悪意のある変更を可能にします。影響は比較的低いものの、誤った承認とデータ操作の可能性は、迅速な修正を正当化します。この脆弱性に対処しないと、運用上の非効率性と、休業管理に関連する潜在的なセキュリティ侵害につながる可能性があります。

Organizations utilizing SAP Fiori Front End Server version 605, particularly those with complex leave request approval workflows, are at risk. Environments with limited access controls or inadequate input validation are especially vulnerable.

• linux / server:

journalctl -u fiori -g "leave request"

• generic web:

curl -I https://<fiori_server>/ | grep -i 'approver:'

1. 2024-03-12Disclosure

   disclosure

1. 予約済み2024-01-05
2. 公開日2024-03-12
3. 更新日2024-08-01
4. EPSS 更新日2026-04-02

CVE-2024-22133 の推奨される軽減策は、SAP Fiori Front End Server をバージョン 605.0.1 以降に更新することです。SAP は、更新プロセスを詳細に説明し、追加情報を提供するセキュリティノートをリリースしました。このパッチをできるだけ早く適用することが、悪用のリスクを最小限に抑えるために重要です。さらに、試行的な悪用の兆候となる可能性のある、システム監査ログをチェックしてください。堅牢なアクセス制御を実装し、システムを継続的に監視することは、補完的なセキュリティ対策です。更新を適用した後、休業申請承認プロセスが期待どおりに機能することを確認してください。潜在的な脆弱性を積極的に特定して対処するために、定期的なセキュリティ評価と脆弱性スキャンも推奨されます。