CVE-2025-31324

Суть уязвимости

CVE-2025-31324 представляет собой критическую уязвимость типа Unrestricted File Upload (неограниченная загрузка файлов) в компоненте SAP NetWeaver Visual Composer Metadata Uploader.

Проблема заключается в отсутствии надлежащей проверки типа, расширения и содержимого файлов, загружаемых через данный интерфейс. Поскольку доступ к эндпоинту может получить неаутентифицированный злоумышленник, это позволяет удаленно загружать вредоносные исполняемые файлы (например, веб-шеллы в формате .jsp). В результате атакующий может добиться выполнения произвольного кода (RCE) на сервере приложений SAP с правами пользователя, под которым запущен инстанс SAP NetWeaver.

Как исправить

Основным и единственным надежным способом устранения уязвимости является установка соответствующих исправлений (Security Notes), выпущенных компанией SAP.

1. Перейдите на SAP Support Portal.
2. Найдите и примените SAP Security Note #3525157 (или более актуальную версию, заменяющую её).
3. Обновите программный компонент VC-METADATA-UPLOAD до версии, указанной в таблице ниже (или выше):
4. VC-METADATA-UPLOAD 7.50: Patch 15
5. После применения патча необходимо перезапустить сервер приложений Java (AS Java), если это указано в инструкциях к ноте.

Для проверки текущей версии компонента используйте System Information в SAP NetWeaver Administrator:

http://<host>:<port>/nwa/sysinfo

Временные меры

Если немедленная установка патча невозможна, необходимо минимизировать риски с помощью следующих компенсирующих мер:

1. Ограничение доступа на уровне сетевого экрана (WAF/Reverse Proxy): Заблокируйте доступ к URL-адресам компонента Visual Composer Metadata Uploader для внешних сетей. Типовой путь для блокировки:

/VC/MetadataUploader

1. Отключение неиспользуемого сервиса: Если функционал Visual Composer не используется в вашей бизнес-логике, остановите соответствующее приложение через SAP NetWeaver Administrator (NWA):

Operations -> Systems -> Start & Stop -> Java Applications

Найдите приложение, содержащее com.sap.vc.metadata.upload, и остановите его.

1. Настройка правил фильтрации на SAP Web Dispatcher: Добавьте правило в конфигурацию Web Dispatcher для отклонения запросов к уязвимому эндпоинту:

if %{PATH} url-prefix /VC/MetadataUploader [RegEx]
Action=FORBIDDEN

1. Усиление мониторинга: Настройте алерты в SIEM-системе на появление новых .jsp или исполняемых файлов в директориях временного хранения и развертывания приложений SAP NetWeaver.