- شناسه CVE-2025-31324 :CVE
- CWE-434 :CWE
- yes :Advisory
- منتشر شده: آوریل 24, 2025
- به روز شده: آوریل 24, 2025
- امتیاز: 10
- نوع حمله: Unknown
- اثر گذاری: Unknown
- حوزه: تجهیزات شبکه و امنیت
- برند: SAP_SE
- محصول: SAP NetWeaver
- وضعیتPublished :CVE
- Yes :POC
- وضعیت آسیب پذیری: patch شده
چکیده
آسیب‌پذیری بحرانی در SAP NetWeaver به مهاجم اجازه می‌دهد بدون احراز هویت، فایل‌های اجرایی مخرب را در سرور بارگذاری کرده و کد دلخواه اجرا کند. این مسئله به‌طور جدی امنیت سیستم را تهدید می‌کند.
توضیحات
ماژول Metadata Uploader در SAP NetWeaver Visual Composer فاقد کنترل مناسب مجوز است و به مهاجم غیرمجاز امکان بارگذاری فایل‌های اجرایی مخرب را می‌دهد. این مسئله می‌تواند به کنترل کامل مهاجم روی سیستم منجر شود. همچنین این آسیب‌پذیری می‌تواند به طور جدی محرمانگی(confidentiality)، یکپارچگی(integrity) و در دسترس‌پذیری (availability)سیستم را تحت تأثیر قرار دهد و هم اکنون نیز مورد بهره‌برداری قرار گرفته است. بر اساس اطلاعات منتشرشده، تاکنون مشخص نشده که این آسیب‌پذیری در کمپین‌های باج‌افزاری به‌کار رفته باشد. اعمال پچ امنیتی منتشرشده برای جلوگیری از سوءاستفاده ضروری است.
CVSS
| Score | Severity | Version | Vector String |
| 10.0 | CRITICAL | 3.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
لیست محصولات آسیب پذیر
| Versions | Product |
| affected at VCFRAMEWORK 7.50 | SAP NetWeaver (Visual Composer development server) |
لیست محصولات بروز شده
SAP با انتشار پچ امنیتی در SAP Note 3594142، این آسیب‌پذیری را برای نسخه آسیب‌پذیر برطرف کرده است.
نتیجه گیری
با توجه به بحرانی بودن آسیب‌پذیری و بهره‌برداری فعال از آن، به کلیه سازمان‌هایی که از SAP NetWeaver استفاده می کنند اکیداً توصیه می‌شود که در اسرع وقت پچ امنیتی مربوطه را اعمال و دسترسی به ماژول Metadata Uploader را محدود نموده و دستورالعمل‌های BOD 22-01 را در محیط‌های ابری در نظر بگیرند.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-31324
- https://www.cvedetails.com/cve/CVE-2025-31324/
- https://support.sap.com/en/my-support/knowledge-base/security-notes-news/may-2025.html
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-31324
- https://vuldb.com/?id.306090
- https://nvd.nist.gov/vuln/detail/CVE-2025-31324
- https://www.theregister.com/2025/04/25/sap_netweaver_patch/
- https://www.bleepingcomputer.com/news/security/sap-fixes-suspected-netweaver-zero-day-exploited-in-attacks/
- https://onapsis.com/blog/active-exploitation-of-sap-vulnerability-cve-2025-31324/
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2025-31324
- https://cwe.mitre.org/data/definitions/434.html
