CVE-2022-22536
SAP Multiple Products HTTP Request Smuggling Vulnerability
Beschreibung
CVE-2022-22536 ist eine HTTP-Request-Smuggling-Schwachstelle, die mehrere SAP-Produkte betrifft, darunter SAP NetWeaver Application Server ABAP, SAP NetWeaver Application Server Java, ABAP Platform, SAP Content Server und SAP Web Dispatcher. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, die Anfrage eines Opfers durch HTTP-Request-Smuggling-Techniken mit beliebigen Daten zu versehen, wodurch der Angreifer Funktionen in der Identität des Opfers ausführen oder Zwischenspeicher vergiften kann. SAP-Systeme bilden den Kern der Geschäftsprozesse von Unternehmen weltweit, was dies zu einer kritischen Bedrohung für die Geschäftskontinuität macht. Die CISA hat CVE-2022-22536 in ihren KEV-Katalog aufgenommen, und mit einem EPSS-Score von 93,8 % (99. Perzentil) ist die Ausnutzung bei exponierten Systemen nahezu sicher.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sap | content server | 7.53 |
| sap | netweaver application server abap | 7.22; 7.49; 7.53; 7.77; 7.81; 7.85; 7.86; 7.87; 8.04; krnl64nuc_7.22; krnl64nuc_7.22ext; krnl64nuc_7.49; krnl64uc_7.22; krnl64uc_7.22ext; krnl64uc_7.49; krnl64uc_7.53; krnl64uc_8.04 |
| sap | web dispatcher | 7.22ext; 7.49; 7.53; 7.77; 7.81; 7.85; 7.86; 7.87 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://launchpad.support.sap.com/#/notes/3123396(Permissions Required)
- https://www.sap.com/documents/2022/02/fa865ea4-167e-0010-bca6-c68f7e60039b.html(Broken Link, Not Applicable, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-22536(US Government Resource)
Schwachstellentyp
CWE-444: HTTP-Request-Smuggling
CVE-2022-22536 nutzt eine HTTP-Request-Smuggling-Schwäche in mehreren SAP-Produkten aus, bei der Frontend- und Backend-Komponenten HTTP-Anfragegrenzen unterschiedlich interpretieren. Diese Inkonsistenz beim Parsing von Content-Length- und Transfer-Encoding-Headern ermöglicht es einem Angreifer, bösartige Anfragen einzuschleusen, die vom Backend-Server als legitime Benutzeranfragen verarbeitet werden, was Session-Hijacking, Cache-Poisoning und unbefugte Funktionsausführung ermöglicht.
Mehr erfahren: CWE-444 — Inkonsistente Interpretation von HTTP-Anfragen
Auswirkungsanalyse
CVE-2022-22536 stellt ein kritisches Risiko für die SAP-Infrastruktur von Unternehmen dar. Die Schwachstelle ist aus der Ferne über das Netzwerk ohne Authentifizierung ausnutzbar, erfordert keine Benutzerinteraktion und weist eine geringe Angriffskomplexität auf. Durch HTTP-Request-Smuggling kann ein Angreifer sich als legitimer Benutzer ausgeben, indem er dessen Anfragen bösartige Daten voranstellt, und so Zugriff auf SAP-Geschäftsfunktionen und sensible Daten als der jeweilige Benutzer erhält. Zusätzlich kann der Angreifer Web-Caches vergiften, wodurch gecachte bösartige Inhalte anderen Benutzern ausgeliefert werden. Dies kann zum unbefugten Zugriff auf SAP-Geschäftstransaktionen und Finanzdaten, zur Ausführung privilegierter SAP-Funktionen mit gestohlenen Benutzersitzungen, zu Cache-Poisoning-Angriffen und zur Störung kritischer Geschäftsprozesse führen. Mit einem EPSS-Score von 93,8 % (99. Perzentil) gehört diese Schwachstelle zu den am aktivsten ausgenutzten.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2022-22536 bestätigt, indem sie die Schwachstelle mit einer Behebungsfrist bis zum 8. September 2022 in den KEV-Katalog aufgenommen hat. Der EPSS-Score von 93,8 % (99. Perzentil) spiegelt nahezu sichere Ausnutzungsaktivität wider. Die Schwachstelle wurde von Sicherheitsforschern mit einem maximalen CVSS-Score von 10.0 offengelegt. HTTP-Request-Smuggling-Techniken sind in der Sicherheits-Community gut dokumentiert, und die SAP-spezifischen Ausnutzungsvektoren wurden öffentlich analysiert. SAP-Benutzer müssen sich am SAP-Support-Portal authentifizieren, um die Sicherheitspatches zu erhalten. Es sind keine spezifischen Ransomware-Kampagnen mit dieser CVE assoziiert, jedoch bietet unbefugter Zugriff auf SAP-Systeme Angreifern Zugang zu kritischen Finanz- und Geschäftsdaten.
Behebung
- SAP-Sicherheitspatches sofort anwenden: Gemäß der CISA-KEV-Vorgabe Updates gemäß Herstelleranweisungen anwenden. SAP-Benutzer müssen Patches über das SAP-Support-Portal (accounts.sap.com) beziehen — Authentifizierung ist erforderlich. Die Security Notes anwenden, die die HTTP-Request-Smuggling-Schwachstelle beheben.
- SAP Web Dispatcher-Konfigurationen aktualisieren: SAP Web Dispatcher-Konfigurationen überprüfen und härten, um die ordnungsgemäße Verarbeitung von Content-Length- und Transfer-Encoding-Headern sicherzustellen und Request-Smuggling über die Webschicht zu verhindern.
- WAF-Regeln für HTTP-Request-Smuggling implementieren: Web Application Firewall-Regeln einsetzen, die speziell für die Erkennung und Blockierung von HTTP-Request-Smuggling-Versuchen entwickelt wurden, einschließlich inkonsistenter Content-Length- und Transfer-Encoding-Header.
- Direkten Zugriff auf SAP-Anwendungsserver einschränken: Sicherstellen, dass SAP-Anwendungsserver (NetWeaver ABAP, Java, Content Server) nicht direkt aus dem Internet erreichbar sind. Allen Verkehr über ordnungsgemäß konfigurierte Reverse-Proxies oder SAP Web Dispatcher-Instanzen leiten.
- SAP-Systemprotokolle auf verdächtige Aktivitäten überwachen: SAP-Sicherheitsauditprotokolle auf Anzeichen von Session-Hijacking, unbefugter Funktionsausführung oder ungewöhnliche Benutzerverhaltensmuster überprüfen.
Technische Details
CVE-2022-22536 ist eine HTTP-Request-Smuggling-Schwachstelle in den HTTP-Verarbeitungsschichten mehrerer SAP-Produkte. HTTP-Request-Smuggling tritt auf, wenn Frontend-Server (wie SAP Web Dispatcher oder Reverse-Proxies) und Backend-Server (wie SAP NetWeaver Application Server) sich darüber uneinig sind, wo eine HTTP-Anfrage endet und eine andere beginnt. Diese Unstimmigkeit entsteht typischerweise durch inkonsistente Handhabung von Content-Length- und Transfer-Encoding-Headern in derselben Anfrage. Im SAP-Kontext kann ein Angreifer eine speziell manipulierte HTTP-Anfrage senden, die vom Frontend als eine einzelne Anfrage, vom Backend jedoch als zwei separate Anfragen interpretiert wird. Die zweite, geschmuggelte Anfrage wird dann der nächsten legitimen Benutzeranfrage vorangestellt, die am Backend eintrifft, wodurch der Server sie im Kontext der Sitzung des Opfers ausführt. Dies ermöglicht dem Angreifer, SAP-Funktionen als das Opfer auszuführen, auf dessen Sitzungsdaten zuzugreifen oder Cache-Inhalte zu manipulieren.
Häufig gestellte Fragen
Wird CVE-2022-22536 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2022-22536 in ihren KEV-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Der EPSS-Score von 93,8 % (99. Perzentil) deutet auf nahezu sichere Ausnutzung bei exponierten SAP-Systemen hin. Die Schwachstelle hat einen maximalen CVSS-Score von 10.0.
Welche Produkte sind von CVE-2022-22536 betroffen?
CVE-2022-22536 betrifft mehrere SAP-Produkte: SAP NetWeaver Application Server ABAP, SAP NetWeaver Application Server Java, ABAP Platform, SAP Content Server und SAP Web Dispatcher. Alle Organisationen, die diese SAP-Komponenten betreiben, sollten sofort Patches anwenden.
Wie behebe ich CVE-2022-22536?
Wenden Sie die SAP-Sicherheitspatches an, die über das SAP-Support-Portal verfügbar sind (Authentifizierung erforderlich). Zusätzlich SAP Web Dispatcher-Konfigurationen härten, um HTTP-Header ordnungsgemäß zu verarbeiten, und WAF-Regeln einsetzen, um Request-Smuggling-Versuche zu erkennen. Sicherstellen, dass SAP-Anwendungsserver nicht direkt aus dem Internet erreichbar sind.
Wie schwerwiegend ist CVE-2022-22536?
CVE-2022-22536 ist eine kritische HTTP-Request-Smuggling-Schwachstelle mit einem maximalen CVSS-Score von 10.0. Mit einem EPSS-Score von 93,8 % (99. Perzentil) gehört sie zu den am aktivsten ausgenutzten Schwachstellen. Eine erfolgreiche Ausnutzung ermöglicht Session-Hijacking, unbefugte Funktionsausführung und Cache-Poisoning über kritische SAP-Geschäftssysteme.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.