TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
SAP ออกอัปเดตอุดช่องโหว่ 21 จุดในผลิตภัณฑ์ของบริษัท โดย 3 จุดมีความรุนแรงระดับ Critical บน NetWeaver ที่เป็น middleware สำคัญขององค์กรขนาดใหญ่
SAP ได้ออกการอัปเดตความปลอดภัยประจำเดือนกันยายนเพื่อแก้ไขช่องโหว่ทั้งหมด 21 จุด โดยมีช่องโหว่ที่น่าสนใจเป็นพิเศษคือ CVE-2025-42944 ซึ่งได้คะแนน CVSS สูงสุดที่ระดับ 10 เต็ม 10 เป็นช่องโหว่ประเภท insecure deserialization ที่พบใน SAP NetWeaver (RMIP4) ServerCore 7.50 ผู้โจมตีที่ไม่ต้องยืนยันตัวตนสามารถส่ง Java object ที่เป็นอันตรายผ่าน RMI-P4 module ไปยัง port ที่เปิดอยู่เพื่อรันคำสั่งระบบปฏิบัติการได้ตามต้องการ โดย RMI-P4 เป็น Remote Method Invocation protocol ที่ NetWeaver AS Java ใช้สำหรับการสื่อสารภายในระหว่าง SAP กับ SAP หรือใช้ในการจัดการระบบ แม้ว่า P4 port จะเปิดเฉพาะบน host แต่บางองค์กรอาจกำหนดค่า firewall ผิดพลาดจนทำให้ port นี้เปิดออกสู่เครือข่ายภายนอกหรือ internet โดยไม่ตั้งใจ
ช่องโหว่ Critical ตัวที่สองคือ CVE-2025-42922 ซึ่งมีคะแนน CVSS v3.1 อยู่ที่ 9.9 เป็นข้อบกพร่องด้าน insecure file operations ที่ส่งผลกระทบต่อ NetWeaver AS Java (Deploy Web Service) J2EE-APPS 7.50 ผู้โจมตีที่มีสิทธิ์การเข้าถึงแบบ authenticated แต่ไม่ใช่ admin สามารถใช้ประโยชน์จากช่องโหว่ใน web service deployment functionality เพื่ออัปโหลดไฟล์ใดก็ได้ ซึ่งอาจนำไปสู่การเข้าควบคุมระบบทั้งหมดได้ ส่วนช่องโหว่ที่สามคือ CVE-2025-42958 ที่มีคะแนน CVSS 9.1 เป็นการขาดการตรวจสอบการยืนยันตัวตนใน NetWeaver ทำให้ผู้ใช้งานที่ไม่ได้รับอนุญาตแต่มีสิทธิ์สูงสามารถอ่าน แก้ไข หรือลบข้อมูลสำคัญ รวมถึงเข้าถึงฟังก์ชันการจัดการระบบได้
นอกจากนี้ SAP ยังแก้ไขช่องโหว่ระดับ high-severity อีกหลายตัว ได้แก่ CVE-2025-42933 ใน SAP Business One SLD ที่เก็บข้อมูลสำคัญอย่าง credentials ไม่ปลอดภัย, CVE-2025-42929 ใน SLT Replication Server ที่ขาดการตรวจสอบ input ทำให้สามารถส่งข้อมูลที่เป็นอันตรายเพื่อทำลายหรือจัดการข้อมูลที่ replicate ได้ และ CVE-2025-42916 ใน S/4HANA ที่ขาดการตรวจสอบ input ในส่วนประกอบหลัก ซึ่งเสี่ยงต่อการจัดการข้อมูลโดยไม่ได้รับอนุญาต โดยระบบ SAP มักเป็นเป้าหมายของผู้โจมตีเนื่องจากใช้งานในองค์กรขนาดใหญ่และจัดการข้อมูลสำคัญทางธุรกิจ เมื่อต้นเดือนนี้ก็มีรายงานว่าผู้โจมตีกำลังใช้ประโยชน์จาก CVE-2025-42957 ซึ่งเป็นช่องโหว่ code injection ระดับ Critical ที่ส่งผลกระทบต่อ S/4HANA, Business One และ NetWeaver อยู่แล้ว
