CVE-2025-31324

اسم البرنامج المتأثر والإصدارات المتأثرة SAP NetWeaver الإصدارات السابقة لسبتمبر 2025

الوصف توجد ثغرة تسمح برفع ملفات غير مقيدة في Visual Composer Metadata Uploader الخاص بـ SAP NetWeaver Development Server بسبب عدم كفاية التفويض والتحقق من ملفات النماذج. يمكن للمهاجمين عن بُعد غير المصرح لهم استغلال ذلك عن طريق إرسال طلبات HTTP POST مصممة خصيصًا إلى نقطة النهاية metadatauploader لرفع ملفات ثنائية تنفيذية ضارة مثل ملفات ZIP أو JAR (غالبًا بتنسيق application/octet-stream). هذه الثغرة، التي تتضمن أيضًا عيوبًا في عملية إلغاء التسلسل (deserialization)، تسمح بتنفيذ رموز عن بُعد (RCE)، مما قد يؤدي إلى اختراق النظام بالكامل وسرقة البيانات والتحرك الجانبي داخل الشبكات. تم رصد عمليات استغلال فعلية منذ مارس 2025، شملت جهات حكومية ومجموعات مثل Lapsus وShinyhunters. استهدفت الهجمات قطاعات الحكومة والتجزئة والاتصالات والتمويل، بما في ذلك شركة كيماويات في الولايات المتحدة. تضمنت سلاسل الاستغلال نشر shells ويب (مثل helper.jsp وcache.jsp) وباب خلفي لأنظمة Linux يسمى Auto-Color للحفاظ على وصول دائم وتنفيذ reverse shells.

التوصيات تثبيت تحديثات SAP الأمنية الصادرة في سبتمبر 2025. نشر أنظمة منع وكشف التسلل (IPS/IDS) لتحديد طلبات POST المرسلة إلى نقطة النهاية metadatauploader التي تحتوي على إشارات application/octet-stream وحمولات ثنائية. استخدام حلول الكشف والاستجابة لنقاط النهاية (EDR) لمراقبة سلوكيات عمليات SAP غير الطبيعية، مثل تنفيذات سطر الأوامر غير المتوقعة. تقييد وصول خوادم التطوير بحيث تقتصر على الشبكات الموثوقة.