SAP phát hành bản vá khẩn cấp cho 4 lỗ hổng bảo mật điểm 10.0 CVSS

Trong đợt cập nhật bảo mật định kỳ tháng 11/2026, SAP đã phát hành các bản vá cho 4 lỗ hổng nghiêm trọng với điểm CVSS đạt mức tối đa 10.0. Đáng chú ý, tất cả các lỗ hổng này đều có thể bị khai thác từ xa mà không yêu cầu người dùng phải đăng nhập vào hệ thống.

Chi tiết các lỗ hổng

Các lỗ hổng này ảnh hưởng đến các thành phần cốt lõi trong hạ tầng SAP:

• SAP NetWeaver Application Server: Ba lỗ hổng được phát hiện trong máy chủ ứng dụng này, bao gồm cả dịch vụ SAML 2.0. Lỗ hổng trong SAML 2.0 có thể bị kẻ tấn công lợi dụng để mạo danh người dùng có đặc quyền, dẫn đến nguy cơ chiếm quyền kiểm soát toàn bộ hệ thống.
• SAP Web Dispatcher: Lỗ hổng tại đây cho phép kẻ tấn công thực thi mã từ xa thông qua việc gửi các gói tin mạng được thiết kế đặc biệt, gây lỗi tràn bộ nhớ (memory corruption).
• Internet Communication Manager (ICM): Tương tự như Web Dispatcher, lỗ hổng này cho phép kẻ tấn công thực thi mã từ xa thông qua các khung điều khiển WebSocket không hợp lệ.
• SAP Gateway: Lỗ hổng này cho phép kẻ tấn công mạo danh các máy chủ ứng dụng nội bộ để thực hiện các hành động trái phép trong môi trường hệ thống.

Khuyến nghị từ chuyên gia

Các chuyên gia an ninh mạng nhấn mạnh rằng đây là những lỗ hổng có mức độ nguy hiểm cực cao vì không yêu cầu bất kỳ tương tác nào từ người dùng. Các quản trị viên hệ thống cần ưu tiên thực hiện các bước sau:

• Cập nhật Kernel và Web Dispatcher: Nên thực hiện cập nhật đồng bộ trong một đợt triển khai duy nhất để đảm bảo tất cả các bản vá liên quan đều được áp dụng.
• Kiểm tra cấu hình SAML2: Rà soát lại các nhà cung cấp danh tính (identity provider) đáng tin cậy và kiểm tra nhật ký kiểm toán (audit logs) để phát hiện các đăng nhập bất thường từ người dùng có đặc quyền.
• Cấu hình Gateway: Đảm bảo tham số gw/acl_mode_proxy được thiết lập đúng cách và kiểm tra các danh sách kiểm soát truy cập (ACL) để hạn chế tối đa khả năng truy cập từ mạng công cộng.
• Vô hiệu hóa tạm thời: Trong trường hợp chưa thể áp dụng bản vá ngay lập tức, việc tạm thời vô hiệu hóa hỗ trợ WebSocket có thể giúp ngăn chặn các cuộc tấn công nhắm vào ICM và Web Dispatcher, tuy nhiên cần lưu ý điều này có thể ảnh hưởng đến một số tính năng của Fiori.

Người dùng được khuyến cáo truy cập cổng thông tin SAP for Me để tải về các bản vá tương ứng với phiên bản hệ thống đang sử dụng.

Nguồn tham khảo: The Hacker News