SAP Fiori App (Intercompany Balance Reconciliation)におけるクロスサイトリクエストフォージェリ (CSRF) の脆弱性

このCSRF脆弱性を悪用されると、攻撃者は認証済みユーザーとして不正なリクエストを送信し、システム内で権限昇格やデータの改ざんなどの操作を実行できる可能性があります。特に、インターカンパニーの残高調整に関わる重要な処理が影響を受けるため、財務データの整合性が損なわれるリスクがあります。攻撃者は、ユーザーがログインしている間に悪意のあるリクエストを仕掛け、ユーザーの意図しない操作を実行させることが可能です。この脆弱性は、機密性への影響は限定的ですが、システムの整合性には影響を与える可能性があります。

Organizations utilizing the SAP Fiori App Intercompany Balance Reconciliation application, particularly those running versions prior to 4.0.1, are at risk. This includes companies with complex intercompany transactions and those relying on accurate financial reporting. Shared hosting environments where multiple tenants share the same SAP instance may also be vulnerable if proper isolation measures are not in place.

• sap: Examine SAP application logs for unusual request patterns, particularly those involving Intercompany Balance Reconciliation functionality. Look for requests originating from unexpected IP addresses or user agents.

zgrep "Intercompany Balance Reconciliation" /var/log/sap/app/<SID>/<instance>/trace.txt

1. 2026-01-13Disclosure

   disclosure

1. 予約済み2025-12-09
2. 公開日2026-01-13
3. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずSAP Fiori App Intercompany Balance Reconciliationをバージョン4.0.1にアップグレードすることを推奨します。アップグレードが困難な場合は、CSRFトークンを適切に実装し、入力検証を強化することで、脆弱性の悪用を軽減できます。Web Application Firewall (WAF) を導入し、CSRF攻撃を検知・防御するルールを設定することも有効です。また、ユーザーに対して、不審なリンクをクリックしないよう注意喚起することも重要です。アップグレード後、CSRFトークンが正しく機能していることを確認してください。