Actores de amenazas están explotando activamente una nueva vulnerabilidad
Zero-Day en SAP NetWeaver 7.xx para cargar shells web JSP con el
objetivo de ejecutar código y tomar el control del servidor.
- Una vulnerabilidad Zero-Day con CVSS 10.0 se está explotando activamente.
-
La vulnerabilidad CVE-2025-31324 afecta a SAP Visual Composer de SAP
NetWeaver 7.xx, permitiendo que actores de amenazas no autenticados
carguen archivos arbitrarios, lo que resulta en un ataque completo e
inmediato del sistema objetivo. -
SAP Visual Composer no está instalado por defecto, pero está
ampliamente habilitado porque era un componente clave utilizado por
especialistas en procesos de negocio para desarrollar componentes de
aplicaciones empresariales sin necesidad de programar. -
El primer informe público se realizó a través del blog de la empresa de investigación de
seguridad ReliaQuest. -
Onapsis Threat Intelligence detectó evidencia de explotación activa, la cual fue reportada por varias
empresas de investigación e investigadores de seguridad. - SAP lanzó un parche de emergencia para este problema el 24 de abril de 2025.
Inicialmente,
ReliaQuest dijo en un informe
que
«Es probable que la explotación esté relacionada con una vulnerabilidad
previamente descubierta, como
CVE-2017-9844, o con un problema de inclusión remota de archivos (RFI) no reportado».
Posteriormente, la misma ReliaQuest confirmó que la actividad maliciosa
detallada aprovecha una nueva vulnerabilidad que ahora está identificada como
CVE-2025-31324 (CVSS: 10).
SAP ya publicó una actualización
para abordar esta falla (Note 3594142).
La falla está en el endpoint
«/developmentserver/metadatauploader» del entorno NetWeaver, lo que
permite a actores de amenazas desconocidos cargar shells web maliciosos
basados en JSP en la ruta «servlet_jsp/irj/root/» para acceso remoto
persistente y entregar cargas útiles adicionales.
En otras palabras, se carga una shell web JSP que
permite subir archivos no autorizados, permitir un control total sobre
los hosts
infectados, ejecutar código remoto y extraer datos confidenciales. Se han
observado incidentes específicos utilizando el marco de postexplotación
Brute Ratel C4, así como una
técnica conocida llamada Heaven’s Gate
para eludir las protecciones de los endpoints de Linux.
Al menos en un caso, los actores de amenazas tardaron varios días en pasar del
acceso inicial exitoso a la explotación posterior, lo que plantea la
posibilidad de que el atacante sea un intermediario de acceso inicial (IAB)
que obtiene y vende acceso a otros grupos de amenazas en foros clandestinos.
«El cargador de metadatos de SAP NetWeaver Visual Composer no está
protegido con la autorización adecuada, lo que permite que un agente no
autenticado cargue binarios ejecutables potencialmente maliciosos que
podrían dañar gravemente el sistema host», se lee en el
aviso sobre la vulnerabilidad.
La divulgación se produce poco más de un mes después de que la Agencia de
Ciberseguridad y Seguridad de Infraestructura de EE.UU. (CISA)
advirtiera
sobre la explotación activa de otra falla de alta gravedad de NetWeaver
(CVE-2017-12637) que podría permitir a un atacante obtener archivos de
configuración confidenciales de SAP.
En un informe aparte, la firma de seguridad de SAP, Onapsis,
afirmó
que la vulnerabilidad se puede explotar mediante HTTP/HTTPS, lo que permite a
los atacantes enviar solicitudes POST cuidadosamente diseñadas dirigidas al
endpoint «/developmentserver/metadatauploader» sin necesidad de
autenticación.
Las shells web permiten al atacante ejecutar comandos arbitrarios en el
contexto del sistema, con los privilegios del usuario del sistema operativo
<sid>adm, lo que les otorga acceso total a todos los recursos de
SAP. Los ataques no se han atribuido a un grupo de amenazas específico.
Con este acceso, el atacante obtiene acceso no autorizado al sistema operativo
SAP subyacente utilizando el usuario y los privilegios de los procesos que se
ejecutan en el servidor de aplicaciones SAP, lo que implica acceso total a
cualquier recurso de SAP, incluida la base de datos del sistema SAP, sin
restricciones, lo que le permite realizar diversas acciones, añadió la
empresa.
Se recomienda a los usuarios verificar la presencia de los siguientes
indicadores de compromiso (IoC) para determinar si se han visto afectados.
Verificar los siguientes directorios del sistema operativo para detectar la
presencia de archivos «jsp», «java» o «class».
C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\root
C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\work
C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\work\sync
ProjectDiscovery ha publicado
dos plantillas de Nuclei
para detectar CVE-2025-31324 con el fin de verificar si los usuarios son
vulnerables y determinar si sus instancias están comprometidas por la puerta
trasera de shell web JSP utilizada por los actores de amenazas.