CVE-2025-31324

Nome do Software Vulnerável e Versões Afetadas SAP NetWeaver versões anteriores a setembro de 2025

Descrição Um problema na função MetadataUploader da ferramenta Visual Composer na plataforma SAP NetWeaver permite que invasores remotos não autenticados façam o upload irrestrito de binários executáveis. Isso é causado por uma validação inadequada de arquivos de modelo e falhas no mecanismo de desserialização. Os invasores podem enviar solicitações HTTP POST especialmente formuladas contendo arquivos ZIP ou JAR maliciosos (geralmente como application/octet-stream), que o servidor processa erroneamente como conteúdo seguro, levando à execução remota de código (RCE) e ao comprometimento total do sistema. A exploração no mundo real foi documentada, incluindo atividades de APTs com nexo à China e grupos como Lapsus e Shinyhunters. Esses ataques envolveram a implantação de web shells (ex: helper.jsp e cache.jsp) e um backdoor para Linux chamado Auto-Color para manter acesso persistente, roubar dados e mover-se lateralmente nas redes.

Recomendações Aplicar as atualizações de segurança da SAP lançadas em setembro de 2025. Implantar sistemas de prevenção e detecção de intrusões (IPS/IDS) para identificar solicitações POST para o endpoint metadatauploader que contenham indicações de application/octet-stream e payloads binários. Utilizar soluções de detecção e resposta de endpoint (EDR) para monitorar comportamentos anômalos de processos SAP, como execuções inesperadas de linha de comando. Restringir a exposição de servidores de desenvolvimento a redes confiáveis.