Błąd w SAP NetWeaver AS Java 7.5 pozwala z internetu, bez konta, odczytać dowolny plik serwera, w tym hasła do baz. Luka atakowana od 2017 roku, CISA dopisała ją do KEV. Zainstaluj poprawkę z noty SAP i zmień hasła.
Ten alert jest dla zarządu, CTO i CFO firm, które korzystają z systemów SAP opartych na SAP NetWeaver Application Server Java 7.5. Werdykt: jeśli poprawka z noty bezpieczeństwa SAP nie jest zainstalowana, zainstaluj ją w tym tygodniu i zmień hasła zapisane w konfiguracji serwera, bo luka pozwala bez logowania odczytać dowolny plik z serwera i jest wykorzystywana od 2017 roku.
Amerykańska agencja CISA 19 marca 2025 roku dopisała podatność CVE-2017-12637 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd w SAP NetWeaver Application Server (AS) Java pozwala napastnikowi z internetu, bez konta, odczytać dowolny plik z serwera przez dopisanie sekwencji „..” do adresu jednego ze składników harmonogramu zadań.
Luka nie jest nowa. Rekord CVE opublikowano 7 sierpnia 2017 roku i już wtedy opis stwierdzał wykorzystanie w atakach w sierpniu 2017 roku. Do katalogu CISA trafiła po ponad siedmiu latach, z terminem naprawy do 9 kwietnia 2025 roku. Instrukcja naprawy jest dostępna tylko dla zalogowanych klientów SAP.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2017-12637 |
Data dodania do CISA KEV | 2025-03-19 |
Termin naprawy wg CISA | 2025-04-09 (21 dni od wpisu) |
Produkt | SAP NetWeaver Application Server Java, składnik scheduler/ui/js/ffffffffbca41eb4/UIUtilJavaScriptJS |
Wersje zagrożone | SAP NetWeaver AS Java 7.5 (7.50) bez poprawki z noty SAP |
Wersje bezpieczne | Systemy z zainstalowaną poprawką z noty SAP: NVD wskazuje notę 2486657, CISA kieruje do noty 3476549 (obie dostępne po zalogowaniu w portalu SAP). Numer wersji z poprawką nie jest publicznie podany |
Typ podatności | Przejście po ścieżce katalogów (directory traversal), odczyt dowolnych plików; CWE-22 |
Ocena CVSS | NVD i CISA: 7.5 (CVSS 3.1, WYSOKA, pełny wpływ na poufność, bez wpływu na integralność i dostępność). NVD w CVSS 2.0: 5.0. Atak przez sieć, bez logowania, bez udziału użytkownika |
Różnica między 5.0 a 7.5 wynika wyłącznie ze zmiany sposobu liczenia w nowszej wersji skali, a nie ze zmiany w samej luce.
Wyobraź sobie recepcjonistę, który przynosi teczkę z archiwum na podstawie kartki z numerem półki. Nie sprawdza, czy numer należy jeszcze do archiwum, czy już do sejfu z umowami zarządu. Wystarczy napisać na kartce „dwa pomieszczenia dalej, trzecia półka”, a przyniesie wszystko.
Serwer SAP podaje pliki na podstawie ścieżki zapisanej w adresie. W systemie plików dwie kropki oznaczają „katalog wyżej”. Podatny składnik nie sprawdzał, czy ścieżka zostaje w dozwolonym miejscu, więc napastnik mógł odczytać dowolny plik serwera. A w plikach konfiguracyjnych leżą hasła do bazy danych, klucze do usług i adresy systemów wewnętrznych.
💡 SAP NetWeaver AS Java to platforma, na której działają aplikacje biznesowe SAP w technologii Java. Directory traversal (przejście po ścieżce katalogów) to błąd pozwalający sięgnąć po pliki spoza dozwolonego katalogu. Nota bezpieczeństwa SAP to instrukcja naprawy publikowana w portalu dla klientów. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Przeglądarka pobiera skrypt aplikacji | Serwer podaje plik z katalogu aplikacji | Tak samo |
Obca osoba dopisuje „..” do adresu | Serwer odrzuca żądanie | Serwer podaje dowolny plik z dysku |
Pliki konfiguracyjne z hasłami | Niedostępne z zewnątrz | Do odczytu bez logowania |
Dalszy dostęp napastnika | Brak | Logowanie do bazy danych zdobytym hasłem, jak zwykły system |
Europejska baza EUVD filtrowana po nazwie SAP | Pokazuje luki SAP | Tej luki nie pokaże, bo pola producenta są puste |
źródło: Pexels, Timothy HuliselanPoniżej typowy przebieg ataku dla tej luki. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga konta ani kliknięcia pracownika, a CISA ocenia go jako możliwy do zautomatyzowania, ze skutkiem częściowym: napastnik nie przejmuje od razu systemu, ale zdobywa dane, które otwierają kolejne drzwi.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie serwerów SAP NetWeaver AS Java dostępnych z internetu | Lista celów |
2. Odczyt plików | T+kilka minut | Żądanie do składnika harmonogramu z sekwencją „..” w adresie | Pliki konfiguracyjne serwera |
3. Kradzież haseł | T+kilkanaście minut | Wyciągnięcie haseł do bazy i kluczy usług z konfiguracji | Dane logowania do systemów wewnętrznych |
4. Wejście „normalnymi drzwiami” | T+godziny do dni | Logowanie do bazy danych i systemów zdobytymi hasłami | Dostęp wyglądający w logach jak zwykła praca systemu |
5. Kradzież danych | T+tygodnie | Pobieranie cenników, kontraktów, danych klientów | Cicha utrata przewagi handlowej |
Mogę Ci jakoś pomóc?
„Tylko odczyt plików” brzmi łagodnie, ale na serwerze aplikacji leżą hasła i klucze, które pozwalają wejść dalej bez żadnych kolejnych luk. Systemy SAP przechowują najcenniejsze dane firmy: zamówienia, ceny, kontrahentów, finanse. Luka jest skanowana automatycznie, a EPSS wskazuje prawdopodobieństwo bliskie pewności.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana haseł i kluczy w wielu systemach, możliwe przestoje przy zmianach | Dni | 20 tys. do 150 tys. PLN (prace konsultantów SAP, przestój) |
Bezpieczeństwo danych | Wyciek konfiguracji, haseł, a następnie danych biznesowych z bazy | Godziny do tygodni | 50 tys. do 300 tys. PLN (analiza powłamaniowa, audyt dostępu) |
Finansowy | Utrata przewagi handlowej po wycieku cenników i warunków kontraktów | Miesiące | 100 tys. do 1 mln PLN (zależnie od branży) |
Reputacyjny | Utrata zaufania kontrahentów, których dane wyciekły | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; naruszenie umów o poufności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z SAP NetWeaver AS Java 7.5 bez poprawki
dostępnym z internetu
Wpływ
5 | . . . . .
4 | . . . . ■ ← WYSOKIE / KRYTYCZNE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki, a nie maksymalny, bo luka daje odczyt, a nie bezpośrednie przejęcie serwera (CISA: skutek częściowy), ale prawdopodobieństwo jest najwyższe, bo atak jest automatyzowalny, znany od 2017 roku, a EPSS wynosi ok. 0,95; serwer niedostępny z internetu ma znacznie niższe prawdopodobieństwo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma ma systemy na SAP NetWeaver AS Java 7.5 i czy są dostępne z internetu | Dziś | Administrator SAP (Basis) / partner SAP |
2 | 🔴 NATYCHMIAST | Potwierdzić, kto ma aktywny dostęp do portalu SAP (me.sap.com) i może pobrać noty 2486657 i 3476549 | Dziś | CTO |
3 | 🟠 PILNIE | Zainstalować poprawkę zgodnie z notą SAP | Do 7 dni | Administrator SAP / partner SAP |
4 | 🟠 PILNIE | Do czasu poprawki ograniczyć dostęp do serwera z internetu | Do 2 dni | Administrator sieci |
5 | 🟠 PILNIE | Zmienić hasła i klucze zapisane w plikach konfiguracyjnych serwera, zwłaszcza niezmieniane od wdrożenia | Do 14 dni | Administrator SAP |
6 | 🟡 WAŻNIE | Przejrzeć logi serwera WWW pod kątem żądań z sekwencjami „..” do ścieżki scheduler/ui/js | Do 14 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Przypisać dostęp do portali serwisowych wszystkich dostawców do stanowisk, a nie do osób | Do 30 dni | CTO |
SAP wydało poprawkę w nocie bezpieczeństwa, dostępnej dla klientów. CISA dopuszcza zastosowanie zaleceń producenta albo wycofanie produktu z użycia. Poniższe miary ograniczają ryzyko do czasu instalacji; efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie serwera od internetu, dostęp tylko z sieci firmowej lub VPN | Wysoka: usuwa masowe skanowanie jako drogę ataku | Średnia |
Blokada na zaporze aplikacyjnej żądań z „..” do ścieżki scheduler/ui/js | Średnia do wysokiej wobec znanego wzorca | Średnia |
Wymiana haseł i kluczy w konfiguracji | Nie blokuje odczytu, unieważnia już wykradzione dane | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Serwer SAP NetWeaver AS Java | Bez poprawki z noty SAP | Poprawka zainstalowana |
Dostęp z internetu | Otwarty | Ograniczony do potrzebnych adresów |
Hasła w konfiguracji | Niezmieniane od wdrożenia | Wymienione |
Dostęp do portalu SAP | Konto byłego pracownika | Przypisany do stanowiska, z zastępstwem |
Wiedza o próbach ataku | Brak | Przejrzane logi |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Opis CVE stwierdza wykorzystanie w atakach już w sierpniu 2017 |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown) |
Ocena CVSS | 7.5 WYSOKA wg NVD i CISA (CVSS 3.1); 5.0 wg NVD (CVSS 2.0) |
PoC dostępny publicznie? | Brak potwierdzonego kodu w analizowanych źródłach; NVD odsyła do archiwalnego wpisu z 2017 roku |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku (CISA) | TAK: atak automatyzowalny, skutek częściowy |
Prognoza EPSS | Ok. 0,95 (95% szansy próby w 30 dni), w górnych kilku setnych procenta znanych luk |
Data wpisu do katalogu nie jest datą początku zagrożenia. Ataki trwały od 2017 roku, a europejska baza powiela datę z marca 2025, bo odnotowuje moment wpisu, nie początek problemu:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2017-12637
CVSS 3.1 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
CVSS 2.0 (NVD) 5.0/10 ██████████░░░░░░░░░░ ta sama luka, stara skala
EPSS (próba w 30 dni) ~95% ███████████████████░ MAKSYMALNA
Atak automatyzowalny TAK ████████████████████ wg CISA
CISA KEV TAK ████████████████████ po 7,5 roku od publikacji 2017-08 Pierwsze ataki na lukę (wg opisu CVE)
2017-08-07 Publikacja CVE-2017-12637, SAP Security Note 2486657
2025-03-19 CISA dodaje lukę do katalogu KEV, poprawka wg CISA w nocie 3476549
2025-04-09 Termin naprawy wg CISA dla agencji federalnych
... ponad 9 lat od pierwszych ataków
2026-09-17: TUTAJ JESTEŚMY Nota SAP wskazana przez CISA (wymaga logowania w portalu SAP): me.sap.com/notes/3476549 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2017-12637 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić z partnerem SAP, czy firma używa NetWeaver AS Java 7.5 | CTO | DZISIAJ |
2 | Ustalić, kto w firmie ma aktywny dostęp do portalu SAP | CTO | DZISIAJ |
3 | Zatwierdzić ograniczenie dostępu do serwera z internetu do czasu poprawki | CTO | DO JUTRA |
4 | Zatwierdzić instalację poprawki i budżet na prace partnera SAP | CFO | DO JUTRA |
5 | Zlecić wymianę haseł i kluczy w konfiguracji serwera | CTO | DO JUTRA |
6 | Sprawdzić, czy dostęp do portali serwisowych wszystkich dostawców ma zastępstwo | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy systemy na SAP NetWeaver AS Java 7.5? | TAK / NIE | 🔴 |
2 | Czy te serwery są dostępne z internetu? | TAK / NIE | 🔴 |
3 | Czy poprawka z noty SAP jest zainstalowana? | TAK / NIE, [data] | 🔴 |
4 | Kto ma aktywne konto w portalu SAP i kto go zastępuje? | [osoby] | 🟠 |
5 | Kiedy ostatnio zmieniono hasła zapisane w konfiguracji serwera? | [data] | 🟠 |
6 | Czy w logach są żądania z sekwencjami „..” do ścieżki scheduler/ui/js? | TAK / NIE | 🟡 |
7 | Czy nasze filtrowanie baz podatności pokazuje wpisy bez nazwy producenta? | TAK / NIE | 🟡 |
CVE-2017-12637 w SAP NetWeaver AS Java 7.5 pozwala bez logowania odczytać dowolny plik z serwera, w tym hasła do baz danych. Luka jest wykorzystywana od 2017 roku, a w 2025 trafiła do katalogu CISA, więc ograniczenie dostępu z internetu to zadanie na dziś, a instalacja poprawki z noty SAP i wymiana haseł na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.