Moduł Visual Composer w SAP NetWeaver przyjmował pliki wykonywalne bez logowania. Luka jest masowo wykorzystywana, także przez grupy ransomware. Wgraj noty SAP 3594142 i 3604119 i przeszukaj serwer.
Ten alert jest dla zarządu, CTO i CFO firm, które prowadzą produkcję, magazyn, finanse lub kadry na systemach SAP opartych na NetWeaver Java. Werdykt: jeśli moduł Visual Composer jest aktywny, a noty SAP 3594142 i 3604119 nie są wgrane, zleć dziś ich instalację albo usunięcie modułu i przeszukanie serwera, bo ta luka o ocenie 10 na 10 jest masowo wykorzystywana, także przez grupy ransomware.
Amerykańska agencja CISA 29 kwietnia 2025 roku dopisała do katalogu KEV podatność CVE-2025-31324 w SAP NetWeaver. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach. W polu dotyczącym kampanii ransomware wpisano „Known”, czyli potwierdzone użycie.
Punkt Metadata Uploader w module Visual Composer nie sprawdzał, kto się do niego zgłasza. Każdy, kto mógł połączyć się z serwerem, mógł bez logowania wgrać na niego plik wykonywalny, np. webshell, i przez niego wydawać polecenia z uprawnieniami systemowego użytkownika SAP. Według firmy Onapsis ataki trwały od marca 2025 roku, a pierwsza fala zostawiła webshelle na setkach systemów, zanim publicznie ujawniła to firma ReliaQuest 22 kwietnia 2025 roku.
SAP wydał awaryjną notę 3594142 24 kwietnia 2025 roku, a 13 maja notę 3604119 dla powiązanej luki CVE-2025-42999, którą zaleca wszystkim klientom. Termin naprawy wyznaczony przez CISA minął 20 maja 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-31324 |
Data dodania do CISA KEV | 2025-04-29 |
Termin naprawy wg CISA | 2025-05-20 (21 dni od wpisu) |
Produkt | SAP NetWeaver, Visual Composer development server (składnik VCFRAMEWORK), Metadata Uploader |
Wersje zagrożone | VCFRAMEWORK 7.50 bez noty 3594142 (NVD: NetWeaver 7.50). Onapsis: Visual Composer w NetWeaver 7.1x i nowszych, nie instalowany domyślnie, ale aktywny w co najmniej 50% systemów Java |
Wersje bezpieczne | Systemy z notą SAP 3594142 (24 kwietnia 2025) oraz, zgodnie z zaleceniem SAP, notą 3604119 (13 maja 2025). Szczegóły wersji są dostępne tylko w portalu klienta SAP |
Typ podatności | Brak autoryzacji i nieograniczone przesyłanie plików niebezpiecznego typu; CWE-434 |
Ocena CVSS | SAP: 10.0 KRYTYCZNA (CVSS 3.1, ze zmianą zakresu, tak samo ENISA). NVD: 9.8 KRYTYCZNA (bez zmiany zakresu). Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie magazyn z rampą załadunkową. Przy rampie powinna stać portiernia, która sprawdza awizację i wpuszcza tylko zapowiedzianych dostawców. Tutaj rampa działała, ale portierni nie było wcale. Każdy, kto podjechał, zostawiał paletę, a paleta trafiała prosto do środka hali. Jedna z takich palet zawierała człowieka, który od środka otworzył bramę i przejął klucze do całego zakładu.
Tak działał ten błąd. Metadata Uploader miał przyjmować pliki z opisami ekranów od uprawnionych osób, ale w ogóle nie pytał o tożsamość. Napastnik wysyłał plik programu (webshell), który lądował na serwerze SAP i dawał mu możliwość wykonywania poleceń. Ponieważ skutki wychodzą poza sam moduł i obejmują cały serwer prowadzący firmę, SAP ocenił lukę na maksymalne 10 punktów.
💡 SAP NetWeaver to platforma pod systemami SAP do produkcji, magazynu, finansów i kadr. Visual Composer to moduł do budowania ekranów i raportów bez programowania. Webshell to mały plik na serwerze, przez który napastnik wydaje polecenia z przeglądarki. Zmiana zakresu w CVSS oznacza, że szkoda wychodzi poza podatny składnik. Nota bezpieczeństwa SAP to oficjalna poprawka dostępna dla klientów w portalu SAP. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba wysyła plik do Visual Composer | Musi się zalogować i mieć uprawnienia | Plik zostaje przyjęty bez logowania |
Rodzaj przyjmowanych plików | Opisy ekranów i raportów | Także programy wykonywalne, np. webshelle |
Uprawnienia napastnika na serwerze | Brak | Uprawnienia systemowego użytkownika SAP |
Wgrana tylko nota 3594142 | Zamyka wejście bez logowania | SAP zaleca też notę 3604119 dla drugiej luki w module |
Aktualizacja po ataku | Zamyka lukę | Nie usuwa webshelli wgranych wcześniej |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na obserwacjach Onapsis. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga tylko dostępu sieciowego do serwera SAP NetWeaver Java z aktywnym Visual Composer. CISA ocenia go jako możliwy do zautomatyzowania, ze skutkiem całkowitym. Kolejne fale wykorzystywały też webshelle pozostawione przez wcześniejszych napastników.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Automatyczne skanowanie internetu w poszukiwaniu ścieżki /developmentserver/metadatauploader | Lista podatnych serwerów SAP |
2. Wgranie webshella | T+sekundy | Wysłanie pliku .jsp bez logowania (np. o nazwach helper.jsp, cache.jsp lub losowych) | Plik napastnika na serwerze |
3. Wykonanie poleceń | T+minuty | Wydawanie poleceń przez webshell | Kontrola nad serwerem z uprawnieniami użytkownika SAP |
4. Rozszerzenie | T+godziny do dni | Dostęp do bazy SAP, kont i połączonych systemów, ruch w głąb sieci | Pełen dostęp do danych firmy |
5. Odsprzedaż lub ponowne użycie | T+dni do tygodni | Inne grupy przejmują pozostawione webshelle | Kolejne ataki na ten sam serwer |
6. Szantaż | T+tygodnie | Kradzież danych i szyfrowanie (ransomware) | Zatrzymana produkcja, wysyłki i fakturowanie |
Mogę Ci jakoś pomóc?
Serwer SAP to fundament działania firmy. Ta luka nie wymaga hasła, jest wykorzystywana automatycznie od marca 2025 roku, przez grupy ransomware i grupy państwowe, a wgrane wcześniej webshelle zostają po aktualizacji. Dla firmy oznacza to ryzyko zatrzymania sprzedaży i produkcji, a nie tylko wycieku.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymana produkcja, magazyn i fakturowanie, odtwarzanie SAP trwające dni | Godziny do tygodni | 200 tys. do 2 mln PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek danych finansowych, kadrowych, klientów i dostawców | Godziny od wejścia | 50 tys. do 400 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Okup, kary umowne od odbiorców, koszty specjalistów SAP | Tygodnie | 300 tys. do 3 mln PLN łącznie |
Reputacyjny | Utrata zaufania odbiorców i partnerów w łańcuchu dostaw | Miesiące | 100 tys. do 1 mln PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań); roszczenia kontrahentów | 72 godziny od wykrycia | 30 tys. do 200 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z SAP NetWeaver Java,
aktywnym Visual Composer i bez not 3594142 / 3604119
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest skrajne, bo atak nie wymaga logowania, jest zautomatyzowany, trwa od marca 2025 roku, dotyczy systemu prowadzącego firmę i jest potwierdzony w kampaniach ransomware; firma bez Visual Composer albo z obiema notami i przeszukanym serwerem jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy w systemach SAP NetWeaver Java jest aktywny Visual Composer i czy ścieżka /developmentserver/metadatauploader jest osiągalna | Dziś | Zespół SAP Basis / partner SAP |
2 | 🔴 NATYCHMIAST | Wgrać notę 3594142 i notę 3604119, jeśli ich nie ma | Dziś | Zespół SAP Basis / partner SAP |
3 | 🔴 NATYCHMIAST | Jeśli noty nie mogą być wgrane od razu: usunąć podatną aplikację zgodnie z notą 3593336 i zablokować ścieżkę z internetu | Dziś | Zespół SAP Basis |
4 | 🔴 NATYCHMIAST | Przeszukać serwer pod kątem webshelli (.jsp w katalogach irjroot, irjwork, irjworksync) skanerami Onapsis i Mandiant | Do 2 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Przejrzeć logi dostępu do Metadata Uploader od stycznia 2025 roku | Do 7 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Przy znalezieniu webshella: traktować serwer jako przejęty, zlecić analizę powłamaniową i zmianę haseł kont technicznych SAP | Do 7 dni | CTO / zespół reagowania |
7 | 🟡 WAŻNIE | Sprawdzić odseparowanie i odtwarzalność kopii zapasowych SAP | Do 30 dni | CTO / administrator |
SAP wydał poprawki w kwietniu i maju 2025 roku, ale dostęp do not wymaga konta w portalu klienta SAP, dlatego dla wielu firm kluczowy jest partner wdrożeniowy. Jeśli wdrożenie musi poczekać, pomagają poniższe środki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Usunięcie podatnej aplikacji Visual Composer zgodnie z notą SAP 3593336 (wcześniejsze warianty obejścia SAP wycofał w maju 2025 roku) | Wysoka: usuwa podatny składnik | Średnia: wyłącza funkcje modułu |
Zablokowanie ścieżki /developmentserver/metadatauploader na zaporze lub odwrotnym proxy | Wysoka wobec ataków z zewnątrz | Średnia |
Odcięcie serwerów SAP Java od bezpośredniego dostępu z internetu | Wysoka | Średnia: oddziały muszą łączyć się przez VPN |
Skanowanie narzędziami Onapsis i Mandiant pod kątem oznak włamania | Niska jako ochrona, kluczowa do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Metadata Uploader | Przyjmuje pliki bez logowania | Załatany albo usunięty |
Dostęp z internetu | Otwarty | Zablokowany lub tylko przez VPN |
Webshelle na serwerze | Nieznany stan | Przeszukany serwer, wynik udokumentowany |
Noty SAP | Brak lub tylko jedna | 3594142 i 3604119 wgrane |
Zgodność z wymogami | Zaległość wobec terminu CISA z 20 maja 2025 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Onapsis: rozpoznanie od stycznia, ataki od marca 2025 roku, kolejne fale po ujawnieniu |
Grupy przestępcze | Wg Onapsis: grupy ransomware BianLian, RansomEXX i Qilin oraz grupy powiązane z Chinami (m.in. UNC5221, Earth Lamia) |
Kampanie ransomware | TAK (CISA KEV: Known) |
Ocena CVSS | 10.0 KRYTYCZNA wg SAP i ENISA; 9.8 KRYTYCZNA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | TAK, w sierpniu 2025 roku media (m.in. The Hacker News) informowały o publicznym exploicie łańcucha tej luki z CVE-2025-42999 |
Liczba atakowanych firm | Wg Onapsis webshelle trafiły na setki systemów w pierwszej fali; dokładna liczba ofiar nie jest publiczna |
Automatyzacja ataku | TAK (ocena CISA), skutek techniczny całkowity |
Powiązana luka | CVE-2025-42999 (deserializacja w tym samym module, CVSS 9.1), w KEV od 15 maja 2025 roku, także ransomware: Known |
Prognoza EPSS | Ponad 99%, czyli praktycznie pewność prób ataku (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-31324
CVSS 3.1 (SAP) 10/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) >99% ████████████████████ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana
Mogę Ci jakoś pomóc?
2025-01 Onapsis wykrywa rozpoznanie w pułapkach (honeypotach)
2025-03 Ataki jako zero-day, webshelle na setkach systemów
2025-04-22 ReliaQuest publicznie ujawnia ataki
2025-04-24 SAP wydaje awaryjną notę 3594142, publikacja CVE
2025-04-29 CISA dodaje lukę do katalogu KEV, ransomware: Known
2025-05-13 SAP wydaje notę 3604119 dla powiązanej CVE-2025-42999
2025-05-20 Termin naprawy wg CISA dla agencji federalnych
2025-08 Doniesienia o publicznym exploicie łańcucha obu luk
2026-09-17: TUTAJ JESTEŚMY Nota bezpieczeństwa SAP z poprawką (wymaga konta w portalu SAP): me.sap.com/notes/3594142 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-31324 . Analiza ataków, wskaźniki włamania i narzędzia: Onapsis, CVE-2025-31324 i CVE-2025-42999 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, kto ma aktywny dostęp do portalu klienta SAP (firma lub partner) | CTO | DZISIAJ |
2 | Uzyskać pisemne potwierdzenie: czy Visual Composer jest aktywny i kiedy wgrano noty 3594142 i 3604119 | CTO | DZISIAJ |
3 | Zatwierdzić usunięcie modułu lub blokadę ścieżki, jeśli noty nie są wgrane | CTO | DZISIAJ |
4 | Zlecić przeszukanie serwerów SAP pod kątem webshelli, niezależnie od daty wgrania not | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową i ewentualne odtworzenie SAP | CFO | DO JUTRA |
6 | Oszacować koszt dnia przestoju SAP i porównać z budżetem na zabezpieczenia | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące ransomware i przestoju | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy w naszych systemach SAP NetWeaver Java jest aktywny Visual Composer? | TAK / NIE | 🔴 |
2 | Czy ścieżka /developmentserver/metadatauploader jest dostępna z internetu? | TAK / NIE | 🔴 |
3 | Kiedy wgrano noty 3594142 i 3604119? | [data] | 🔴 |
4 | Czy przeszukaliśmy serwery pod kątem webshelli i jaki był wynik? | TAK / NIE | 🔴 |
5 | Czy mamy logi dostępu do serwera SAP sięgające stycznia 2025 roku? | TAK / NIE | 🟠 |
6 | Kto u nas lub u partnera śledzi comiesięczne noty SAP Security Patch Day? | [osoba] | 🟠 |
7 | Kiedy ostatnio przetestowaliśmy odtworzenie SAP z kopii zapasowej? | [data] | 🟡 |
CVE-2025-31324 pozwalała bez logowania wgrać webshell na serwer SAP NetWeaver przez moduł Visual Composer i była masowo wykorzystywana od marca 2025 roku, także przez grupy ransomware. Poprawki SAP są dostępne od kwietnia i maja 2025 roku, ale nie usuwają wcześniej wgranych plików, więc potwierdzenie obu not i przeszukanie serwerów to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.