SAP Business Planning and Consolidation および SAP Business Warehouse における SQL インジェクション (SQL Injection) の脆弱性

この脆弱性を悪用されると、攻撃者はデータベース内の機密情報を窃取し、データの改ざんや削除を実行し、システム全体の可用性を低下させることが可能です。攻撃者は、認証情報を利用してSQLインジェクション攻撃を実行し、データベースへの不正アクセスを確立します。これにより、財務データ、顧客情報、機密性の高いビジネスデータなど、重要な情報が漏洩する可能性があります。この脆弱性は、SAPシステムの機密性、完全性、可用性を著しく損なう可能性があります。類似のSQLインジェクション攻撃は、過去に多くの企業でデータ漏洩やシステム停止を引き起こしており、深刻なビジネスリスクをもたらします。

Organizations heavily reliant on SAP Business Planning and Consolidation and SAP Business Warehouse for financial planning, budgeting, and supply chain management are particularly at risk. Companies with legacy SAP deployments or those that have not implemented robust security controls are also more vulnerable. Shared hosting environments where multiple tenants share the same SAP instance should be carefully reviewed for potential cross-tenant exploitation.

• sap: Use SAP Solution Manager to check for missing security patches and identify affected systems. • linux / server: Monitor SAP application logs for unusual SQL queries or error messages indicating potential injection attempts. Use journalctl -u <sapservicename> to filter for relevant log entries. • generic web: Monitor web application firewall logs for SQL injection patterns targeting SAP endpoints. Use curl -v <sap_endpoint> to test for unexpected behavior and potential injection points.

1. 2026-04-14Disclosure

   disclosure

1. 予約済み2026-02-23
2. 公開日2026-04-14
3. EPSS 更新日2026-04-21

この脆弱性への最も効果的な対策は、SAPから提供されている最新のパッチにアップグレードすることです。パッチの適用が困難な場合は、一時的な緩和策として、データベースへのアクセスを厳格に制限し、不要な権限を削除することで攻撃対象領域を縮小できます。また、Webアプリケーションファイアウォール（WAF）を導入し、SQLインジェクション攻撃を検知・防御することも有効です。WAFのルールセットを最新の状態に保ち、SAP Business Planning and Consolidation および SAP Business Warehouse に特化したルールを適用することを推奨します。さらに、データベースの監査ログを有効にし、不審なアクティビティを監視することで、攻撃の早期発見に繋げることができます。