Kritinė SAP spraga atveria duris: CVE-2025-31324 pažeidžiamumas ir jo pasaulinis poveikis

Kritinė klaida, turinti pasaulinį mastą

„SAP NetWeaver“ pažeidžiamumas, identifikuotas kaip CVE-2025-31324, greitai tapo dideliu rūpesčiu IT ir saugumo komandoms visame pasaulyje. Šis trūkumas, kurio maksimalus CVSS balas yra 10,0, leidžia nuotoliniams užpuolikams vykdyti kodą tikslinėse sistemose be autentifikavimo, todėl tai yra viena didžiausių saugumo grėsmių. Problema slypi pažeidžiamame galiniame taške: /developmentserver/metadatauploader , kurį užpuolikai gali manipuliuoti, kad įkeltų kenkėjiškus žiniatinklio apvalkalus.

Šis trūkumas nėra vien teorinis. Spragų išnaudojimo atvejai jau buvo pastebėti realiomis sąlygomis, todėl organizacijoms, kurios naudoja galingus SAP įmonės įrankius, labai svarbu laiku jį ištaisyti ir sušvelninti.

Plačiai paplitęs ir ankstyvas išnaudojimas

Nors apie pažeidžiamumą viešai buvo atskleista tik neseniai, teismo ekspertizė rodo, kad jis galėjo būti tyliai atakuojamas jau kelis mėnesius. Ankstyviausi bandymų tirti pažeidžiamumą įrodymai siekia 2025 m. sausį , o tikrasis jo išnaudojimas greičiausiai prasidėjo kovo viduryje. SAP sistemas stebinčios saugumo įmonės pastebėjo sėkmingą žiniatinklio apvalkalų diegimą nuo kovo 14 iki kovo 31 d., o tai rodo aktyvų įsilaužimą dar prieš tai, kai apie pažeidžiamumą plačiai sužinojo.

Paveikta daug pramonės šakų, įskaitant energetiką, gamybą, mažmeninę prekybą, valdžios sektorius ir žiniasklaidos organizacijas. Šis poveikis įvairiems sektoriams pabrėžia SAP NetWeaver aprėptį ir svarbą pasaulinėse įmonių operacijose ir kodėl toks pažeidžiamumas turi toli siekiančių pasekmių.

Chaya_004: Į sceną žengia žymus žaidėjas

Tarp šią pažeidžiamumą išnaudojančių grėsmių yra grupė „Chaya_004“ , manoma, įsikūrusi Kinijoje. Nors apie šią grupę viešai žinoma nedaug, tyrėjai ją sieja su įvairia veikla, susijusia su šiuo SAP pažeidžiamumu. Jų taktika apima „Golang“ pagrindu sukurtos atvirkštinės programinės įrangos, vadinamos „SuperShell“ , ir kibernetinių puolamųjų programų, tokių kaip „Cobalt Strike“ , „SoftEther VPN“ ir ARL („Asset Reconnaissance Lighthouse“), diegimą.

Vienas pastebimas atradimas yra grupės naudojamas IP adresas (47.97.42[.]177), kuriame yra „SuperShell“ galinės durys, taip pat pateikiamas neįprastas savarankiškai pasirašytas sertifikatas, apsimetantis esąs iš „Cloudflare“. Tai tikriausiai bandymas išvengti aptikimo imituojant teisėtas paslaugas.

Lenktynės tarp kibernetinių nusikaltėlių

Kai tik atskleidžiama pažeidžiamumas, ypač turintis tokį didelį poveikį, prasideda lenktynės. Ir CVE-2025-31324 nėra išimtis. Po viešo jos demaskavimo prie jų prisijungė kelios kibernetinių nusikaltėlių grupuotės, kurios taikosi į netaisytas sistemas, kad dislokuotų žiniatinklio apvalkalus ir, kai kuriais atvejais, kriptovaliutų kasimo programinę įrangą. Šios oportunistinės atakos dar labiau apsunkina situaciją, nes gynėjams sunkiau atskirti atsitiktinį išnaudojimą nuo tikslingesnių, strateginių įsilaužimų.

Šis platesnis susidomėjimas šia spragų išnaudojimo sistema reiškia, kad net organizacijos, turinčios nedidelį grėsmių profilį, gali tapti taikiniais, ypač jei jos delsia įdiegti pataisas arba nesugeba apsaugoti savo sistemų.

Poveikis įmonės saugumui

CVE-2025-31324 pasekmės apima daugiau nei pavienes atakas. Kai sistema pažeidžiama nuotoliniu būdu vykdant kodą, užpuolikai gali išlaikyti nuolatinę prieigą, išgauti slaptus duomenis, persijungti į skirtingus tinklus arba diegti papildomą kenkėjišką programinę įrangą. Kai kurių užpuolikų naudojamos po atakos naudojamos priemonės, tokios kaip „Brute Ratel C4“, užsimena apie pažangius tikslus, kurie gali apimti ilgalaikį šnipinėjimą ar duomenų nutekėjimą.

Pasaulinėje verslo aplinkoje, kurioje SAP sistemose dažnai saugomi pagrindiniai veiklos duomenys, tokių pažeidimų poveikis gali būti sunkus – nuo verslo sutrikimų iki reguliavimo pasekmių.

Gynyba ir atsakas: ką organizacijos turėtų daryti

Saugumo ekspertai primygtinai rekomenduoja nedelsiant imtis veiksmų. Pirmas ir svarbiausias žingsnis yra oficialių SAP pataisymų diegimas. Be to, organizacijos turėtų apriboti prieigą prie pažeidžiamo metaduomenų įkėlimo galinio taško ir apsvarstyti galimybę išjungti „Visual Composer“ paslaugą, jei ji nenaudojama. Nuolatinis įtartino elgesio, ypač žiniatinklio apvalkalo indikatorių, stebėjimas gali padėti aptikti vykstančius ar bandymus įsilaužti.

„Forescout“ tyrėjai pažymi, kad net ir jau pataisytos sistemos gali likti pavojuje, jei užpuolikai prieš taisomuosius veiksmus buvo įdiegę žiniatinklio apvalkalus. Todėl reaguojant į problemas reikėtų peržiūrėti sistemos žurnalus, srauto modelius ir galinių taškų elgseną, siekiant nustatyti įsilaužimo požymius.

Esmė

CVE-2025-31324 yra puikus priminimas, kaip greitai grėsmių subjektai gali prisitaikyti ir išnaudoti naujai atrastas silpnąsias vietas. Kadangi pasaulinės pramonės šakos priklauso nuo SAP, kad atliktų itin svarbias funkcijas, rizika yra didelė. Nors pažeidžiamumas yra rimtas, egzistuoja aiškūs gynybos žingsniai, o organizacijos, kurios veikia greitai ir ryžtingai, gali gerokai sumažinti savo riziką.

Informuotumas, budrumas ir iniciatyvumas išlieka geriausia gynyba aplinkoje, kurioje kibernetinės grėsmės toliau sparčiai vystosi.