- Cosa può fare
- Un attaccante, senza credenziali, può caricare sul server SAP un programma malevolo (webshell) e usarlo per eseguire comandi, cioè prendere il controllo del sistema.
- Cosa mette in pericolo
- Il gestionale SAP e i dati che contiene (contabilità, ordini, magazzino, anagrafiche), la continuità operativa e gli altri sistemi collegati.
- Chi è colpito
- SAP NetWeaver Application Server Java con il componente Visual Composer (VCFRAMEWORK 7.50) installato; endpoint vulnerabile /developmentserver/metadatauploader.
Cosa fare
- Applicare la SAP Security Note 3594142 e la successiva Note 3604119 (CVE-2025-42999), che SAP raccomanda a tutti i clienti.
- Se il Visual Composer non serve, rimuoverlo o disattivarlo seguendo la SAP Note 3593336.
- Cercare file .jsp, .java o .class inattesi nelle cartelle irjroot, irjwork e irjworksync (SAP Note 3596125): se presenti, trattare il sistema come compromesso.
- Non esporre direttamente su Internet le interfacce SAP e monitorare le richieste all'endpoint metadatauploader.