Deserializacja w module Visual Composer SAP NetWeaver pozwala przejąć serwer, a w łańcuchu z CVE-2025-31324 bez logowania. CISA potwierdza ransomware. Wgraj notę SAP 3604119 i sprawdź serwer.
Ten alert jest dla zarządu, CTO i CFO firm, których produkcja, magazyn, finanse lub kadry działają na systemach SAP opartych na NetWeaver Java z modułem Visual Composer. Werdykt: jeśli nota bezpieczeństwa SAP 3604119 nie jest wgrana, zleć dziś jej instalację i sprawdzenie serwera pod kątem webshelli, bo ta luka jest wykorzystywana w atakach ransomware razem z CVE-2025-31324.
Amerykańska agencja CISA 15 maja 2025 roku dopisała do katalogu KEV podatność CVE-2025-42999 w SAP NetWeaver. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach. W polu dotyczącym kampanii ransomware wpisano „Known”, czyli potwierdzone użycie.
Błąd siedzi w module Visual Composer, w punkcie Metadata Uploader, który przyjmuje przesyłane opisy interfejsów. Program odtwarzał (deserializował) przesłane obiekty bez sprawdzenia, więc spreparowana zawartość mogła wykonać polecenia na serwerze. Sama luka wymaga konta z wysokimi uprawnieniami, ale według firmy Onapsis napastnicy łączyli ją z luką CVE-2025-31324, która pozwala wejść bez logowania. Razem dają pełną kontrolę nad serwerem SAP.
SAP wydał poprawkę w nocie 3604119 13 maja 2025 roku i zaleca ją wszystkim klientom, także tym, którzy wcześniej wgrali notę 3594142. Termin naprawy wyznaczony przez CISA minął 5 czerwca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-42999 |
Data dodania do CISA KEV | 2025-05-15 |
Termin naprawy wg CISA | 2025-06-05 (21 dni od wpisu) |
Produkt | SAP NetWeaver, Visual Composer development server (składnik VCFRAMEWORK), Metadata Uploader |
Wersje zagrożone | VCFRAMEWORK 7.50 bez noty 3604119 (NVD: NetWeaver 7.5). Onapsis wskazuje, że Visual Composer nie jest instalowany domyślnie, ale działa w co najmniej połowie systemów NetWeaver Java |
Wersje bezpieczne | Systemy z wgraną notą bezpieczeństwa SAP 3604119 (13 maja 2025) lub pakietem wsparcia, który ją zawiera. Szczegóły wersji są dostępne tylko w portalu klienta SAP |
Typ podatności | Deserializacja niezaufanych danych; CWE-502 |
Ocena CVSS | 9.1 KRYTYCZNA (CVSS 3.1, SAP; NVD nie wystawiła własnej oceny). Atak przez sieć, wymaga wysokich uprawnień, bez udziału użytkownika, skutki wychodzą poza podatny składnik |
Wyobraź sobie magazyn, który zamiast części przyjmuje gotowe zestawy do samodzielnego złożenia, razem z instrukcją montażu. Magazynier składa każdy zestaw dokładnie według dołączonej instrukcji, nie sprawdzając, od kogo przyszła. Jeśli ktoś dołączy instrukcję „złóż, a potem otwórz bramę od strony parkingu”, magazynier to zrobi, bo tak każe procedura.
Tak działał ten błąd. Metadata Uploader przyjmował nie surowe dane, tylko zapis obiektu z informacją, jak go odtworzyć. Odtwarzanie przebiegało bez sprawdzenia, czy zapis jest bezpieczny, więc samo „składanie” wykonywało polecenia napastnika. Luka wymaga konta z wysokimi uprawnieniami, ale w praktyce drzwi otwierała druga luka w tym samym module, CVE-2025-31324, która pozwalała wgrać plik bez logowania.
💡 SAP NetWeaver to platforma, na której działają systemy SAP do produkcji, magazynu, finansów i kadr. Visual Composer to moduł do budowania ekranów i raportów bez programowania. Deserializacja to odtwarzanie obiektu programu z zapisanych danych; bez kontroli pozwala przemycić polecenia. Webshell to mały plik wgrany na serwer, przez który napastnik wydaje mu polecenia z internetu. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Przesłanie opisu interfejsu do Visual Composer | Moduł wczytuje dane | Moduł może wykonać ukryte polecenia |
Wymóg wysokich uprawnień | Blokuje obcych | Omijany dzięki CVE-2025-31324 w tym samym module |
Wgrana nota 3594142 z kwietnia 2025 roku | Uważana za wystarczającą | SAP zaleca dodatkowo notę 3604119 |
Serwer SAP | Prowadzi produkcję, magazyn i finanse | Napastnik działa z uprawnieniami systemowego użytkownika SAP |
Aktualizacja | Zamyka lukę | Nie usuwa webshelli wgranych wcześniej |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na łańcuchu opisanym przez Onapsis. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Sama CVE-2025-42999 wymaga wysokich uprawnień, dlatego w atakach pojawiała się w parze z CVE-2025-31324 albo była wykorzystywana przez napastników, którzy już mieli dostęp. CISA ocenia, że tej luki nie da się w pełni zautomatyzować, ale skutek jest całkowity.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Skanowanie internetu w poszukiwaniu serwerów SAP NetWeaver Java z Visual Composer | Lista celów |
2. Wejście | T+kilka minut | Wykorzystanie CVE-2025-31324 do wgrania pliku bez logowania | Pierwszy przyczółek na serwerze |
3. Wykonanie poleceń | T+kilkanaście minut | Wysłanie spreparowanych danych do deserializacji (CVE-2025-42999) | Polecenia wykonywane z uprawnieniami systemowego użytkownika SAP |
4. Utrwalenie | T+godziny | Wgranie webshelli (np. plików .jsp w katalogach aplikacji) | Stały dostęp, który przetrwa aktualizację |
5. Rozszerzenie | T+dni | Dostęp do danych SAP, kont i połączonych systemów | Kontrola nad danymi firmy |
6. Szantaż | T+dni do tygodni | Kradzież danych i szyfrowanie (ransomware) | Zatrzymana produkcja, wysyłki i fakturowanie |
Mogę Ci jakoś pomóc?
System SAP to często serce firmy: zamówienia, produkcja, magazyn, płace i księgowość w jednym miejscu. Luka ma potwierdzone użycie w ransomware, a atak zatrzymuje działalność, a nie tylko pojedynczy komputer. Wymóg wysokich uprawnień nie uspokaja, bo druga luka w tym samym module te uprawnienia daje.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymana produkcja, wysyłki i fakturowanie, odtwarzanie SAP z kopii trwające dni | Godziny do tygodni | 200 tys. do 2 mln PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek danych finansowych, kadrowych, klientów i dostawców | Dni | 50 tys. do 400 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Okup, kary umowne za niedostarczone zamówienia, koszty specjalistów SAP | Tygodnie | 300 tys. do 3 mln PLN łącznie |
Reputacyjny | Utrata zaufania odbiorców i partnerów w łańcuchu dostaw | Miesiące | 100 tys. do 1 mln PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań); roszczenia kontrahentów | 72 godziny od wykrycia | 30 tys. do 200 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z SAP NetWeaver Java,
Visual Composer i bez noty 3604119
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (pełna kontrola nad systemem prowadzącym firmę i potwierdzone ransomware), a prawdopodobieństwo wysokie, a nie najwyższe, bo sama luka wymaga uprawnień i nie jest w pełni automatyczna; w połączeniu z niezałataną CVE-2025-31324 ryzyko staje się skrajne. Firma bez Visual Composer lub z obiema notami jest poza zasięgiem tego łańcucha.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy w systemach SAP NetWeaver Java jest zainstalowany i aktywny Visual Composer | Dziś | Zespół SAP Basis / partner SAP |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy wgrane są obie noty: 3594142 i 3604119; brakujące wgrać | Dziś | Zespół SAP Basis / partner SAP |
3 | 🔴 NATYCHMIAST | Jeśli nie można od razu wgrać not: zastosować obejście z noty SAP 3593336 (usunięcie podatnej aplikacji) i odciąć dostęp z internetu | Dziś | Zespół SAP Basis |
4 | 🟠 PILNIE | Przeszukać serwer pod kątem webshelli (m.in. nieznane pliki .jsp w katalogach irjroot, irjwork) otwartymi skanerami Onapsis i Mandiant | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Przejrzeć logi dostępu do /developmentserver/metadatauploader od stycznia 2025 roku | Do 7 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Sprawdzić, czy kopie zapasowe SAP są odseparowane i czy odtworzenie zostało przetestowane | Do 7 dni | CTO / administrator |
7 | 🟡 WAŻNIE | Wpisać moduł Visual Composer na listę składników sprawdzanych co miesiąc przy SAP Security Patch Day | Do 30 dni | CTO |
SAP wydał poprawki (nota 3594142 w kwietniu i 3604119 w maju 2025 roku), ale dostęp do nich wymaga konta w portalu klienta SAP. Jeśli wdrożenie musi poczekać na okno serwisowe, pomagają poniższe środki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Usunięcie podatnej aplikacji Visual Composer zgodnie z notą SAP 3593336 | Wysoka: usuwa podatny składnik | Średnia: wyłącza funkcje modułu |
Zablokowanie dostępu z internetu do ścieżki /developmentserver/metadatauploader | Wysoka wobec ataków z zewnątrz | Średnia |
Przegląd i ograniczenie kont z wysokimi uprawnieniami w SAP | Średnia: utrudnia samodzielne użycie tej luki | Średnia |
Skanowanie serwera narzędziami Onapsis i Mandiant pod kątem oznak włamania | Niska jako ochrona, kluczowa do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Visual Composer | Aktywny, podatny | Załatany obiema notami albo usunięty |
Dostęp do Metadata Uploader | Z internetu | Zablokowany z zewnątrz |
Webshelle na serwerze | Nieznany stan | Przeszukany serwer, wynik udokumentowany |
Kopie zapasowe SAP | Nieprzetestowane | Odseparowane i sprawdzone |
Zgodność z wymogami | Zaległość wobec terminu CISA z 5 czerwca 2025 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Onapsis obserwował łańcuch z CVE-2025-31324 w atakach od marca 2025 roku |
Grupy przestępcze | Wg Onapsis: grupy ransomware BianLian, RansomEXX i Qilin oraz grupy powiązane z Chinami (m.in. UNC5221, Earth Lamia) |
Kampanie ransomware | TAK (CISA KEV: Known) |
Ocena CVSS | 9.1 KRYTYCZNA (CVSS 3.1, SAP) |
PoC dostępny publicznie? | TAK, w sierpniu 2025 roku media (m.in. The Hacker News) informowały o publicznym exploicie łańcucha obu luk |
Liczba atakowanych firm | Wg Onapsis webshelle trafiły na setki systemów w pierwszej fali ataków; dokładnej liczby ofiar tej luki brak |
Automatyzacja ataku | Nie (ocena CISA), skutek techniczny całkowity |
Powiązana luka | CVE-2025-31324 (wgranie pliku bez logowania, CVSS 10.0), w KEV od 29 kwietnia 2025 roku, także ransomware: Known |
Prognoza EPSS | Około 14% z trendem rosnącym (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-42999
CVSS 3.1 (SAP) 9.1/10 ██████████████████░░ KRYTYCZNA
EPSS (próba w 30 dni) ~14% ███░░░░░░░░░░░░░░░░░ rośnie
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana
Łańcuch z 31324 TAK ████████████████████ wejście bez logowania
Mogę Ci jakoś pomóc?
2025-01 Onapsis wykrywa rozpoznanie w pułapkach (honeypotach)
2025-03 Pierwsze ataki z użyciem łańcucha luk Visual Composer
2025-04-24 SAP: nota 3594142 dla CVE-2025-31324
2025-04-29 CISA dodaje CVE-2025-31324 do KEV
2025-05-12 CISA ocenia wykorzystanie CVE-2025-42999 jako aktywne
2025-05-13 SAP: nota 3604119, publikacja CVE-2025-42999
2025-05-15 CISA dodaje CVE-2025-42999 do KEV, ransomware: Known
2025-06-05 Termin naprawy wg CISA dla agencji federalnych
2025-08 Doniesienia o publicznym exploicie łańcucha obu luk
2026-09-17: TUTAJ JESTEŚMY Nota bezpieczeństwa SAP z poprawką (wymaga konta w portalu SAP): me.sap.com/notes/3604119 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-42999 . Analiza ataków i narzędzia do wykrywania: Onapsis, CVE-2025-31324 i CVE-2025-42999 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, kto ma aktywny dostęp do portalu klienta SAP (firma lub partner) | CTO | DZISIAJ |
2 | Uzyskać pisemne potwierdzenie wgrania not 3594142 i 3604119 z datami | CTO | DZISIAJ |
3 | Zatwierdzić obejście z noty 3593336 lub odcięcie od internetu, jeśli noty nie są wgrane | CTO | DZISIAJ |
4 | Zlecić przeszukanie serwerów SAP pod kątem webshelli | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową i ewentualne odtworzenie SAP | CFO | DO JUTRA |
6 | Sprawdzić, czy umowa serwisowa SAP obejmuje instalację poprawek bezpieczeństwa | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące ransomware i przestoju | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy w naszych systemach SAP NetWeaver Java działa Visual Composer? | TAK / NIE | 🔴 |
2 | Kiedy wgrano notę 3594142? | [data] | 🔴 |
3 | Kiedy wgrano notę 3604119? | [data] | 🔴 |
4 | Czy przeszukaliśmy serwer pod kątem webshelli skanerami Onapsis lub Mandiant? | TAK / NIE | 🟠 |
5 | Czy ścieżka /developmentserver/metadatauploader jest dostępna z internetu? | TAK / NIE | 🟠 |
6 | Ile kont w SAP ma uprawnienia pozwalające korzystać z Visual Composer? | [liczba] | 🟠 |
7 | Kiedy ostatnio przetestowaliśmy odtworzenie SAP z kopii zapasowej? | [data] | 🟡 |
CVE-2025-42999 pozwala przez deserializację w module Visual Composer przejąć serwer SAP NetWeaver, a w łańcuchu z CVE-2025-31324 atak nie wymaga nawet logowania. CISA potwierdza użycie w kampaniach ransomware, a poprawka jest dostępna od maja 2025 roku, więc potwierdzenie obu not SAP i przeszukanie serwera pod kątem webshelli to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.