Kritisk SAP-feil åpner døren: CVE-2025-31324-sårbarhet og dens globale innvirkning

En kritisk feil med global rekkevidde

En sårbarhet i SAP NetWeaver , identifisert som CVE-2025-31324, har raskt blitt et stort problem for IT- og sikkerhetsteam over hele verden. Med en maksimal CVSS-score på 10,0 tillater denne feilen eksterne angripere å kjøre kode på målrettede systemer uten autentisering, noe som gjør den til en av de mest alvorlige typene sikkerhetsrisikoer. Problemet ligger i et eksponert endepunkt: /developmentserver/metadatauploader , som angripere kan manipulere for å laste opp ondsinnede webshells.

Denne feilen er ikke bare teoretisk. Utnyttelser har allerede blitt observert i praksis, noe som gjør rettidig oppdatering og begrensning av feilen kritisk for organisasjoner som er avhengige av SAPs kraftige bedriftsverktøy.

Utbredt og tidlig utnyttelse

Selv om sårbarheten først nylig ble offentliggjort, viser rettsmedisinske analyser at den kan ha vært under stille angrep i flere måneder. De tidligste bevisene på etterforskningsforsøk dateres tilbake til januar 2025 , og den faktiske utnyttelsen startet sannsynligvis i midten av mars. Sikkerhetsfirmaer som overvåker SAP-systemer, la merke til vellykkede utrullinger av web-shells mellom 14. og 31. mars, noe som indikerer aktiv kompromittering allerede før feilen var allment kjent.

Flere bransjer har blitt berørt, inkludert energi, produksjon, detaljhandel, myndigheter og medieorganisasjoner. Denne tverrsektorielle påvirkningen understreker rekkevidden og viktigheten av SAP NetWeaver i globale bedriftsoperasjoner – og hvorfor en slik sårbarhet har vidtrekkende implikasjoner.

Chaya_004: En bemerkelsesverdig spiller entrer scenen

Blant trusselaktørene som utnytter denne sårbarheten er en gruppe kalt Chaya_004 , som antas å være basert i Kina. Selv om ikke mye er offentlig kjent om denne gruppen, har forskere knyttet dem til en rekke aktiviteter knyttet til denne SAP-sårbarheten. Taktikkene deres inkluderer utplassering av et Golang-basert reverse shell kalt SuperShell , sammen med et verktøysett med cyberoffensive verktøy som Cobalt Strike , SoftEther VPN og ARL (Asset Reconnaissance Lighthouse).

Et bemerkelsesverdig funn er gruppens bruk av en IP-adresse (47.97.42[.]177) som er vert for SuperShell-bakdøren, som også presenterer et uvanlig selvsignert sertifikat som utgir seg for å være fra Cloudflare. Dette er sannsynligvis et forsøk på å unngå oppdagelse ved å etterligne legitime tjenester.

Et kappløp blant nettkriminelle

Når en sårbarhet blir avslørt, spesielt en med så stor innvirkning, starter et kappløp. Og CVE-2025-31324 er intet unntak. Etter offentlighetens avsløring har flere nettkriminelle grupper sluttet seg til kampen, og rettet seg mot uoppdaterte systemer for å distribuere webshells og, i noen tilfeller, programvare for kryptovalutautvinning. Disse opportunistiske angrepene kompliserer landskapet ytterligere, ettersom de gjør det vanskeligere for forsvarere å skille mellom tilfeldig utnyttelse og mer målrettede, strategiske inntrenginger.

Denne bredere interessen for utnyttelsen betyr at selv organisasjoner med moderate trusselprofiler kan bli mål, spesielt hvis de utsetter implementering av oppdateringer eller ikke klarer å styrke systemene sine.

Implikasjoner for bedriftssikkerhet

Implikasjonene av CVE-2025-31324 strekker seg utover individuelle angrep. Når et system er kompromittert via ekstern kjøring av kode, kan angripere opprettholde vedvarende tilgang, trekke ut sensitive data, flytte på tvers av nettverk eller distribuere ytterligere skadelig programvare. Noen angriperes bruk av verktøy etter utnyttelse, som Brute Ratel C4, hinter til avanserte mål som kan inkludere langsiktig spionasje eller datautvinning.

I et globalt forretningsmiljø der SAP-systemer ofte inneholder sentrale driftsdata, kan konsekvensene av slike brudd være alvorlige – fra forretningsforstyrrelser til regulatoriske konsekvenser.

Forsvar og respons: Hva organisasjoner bør gjøre

Sikkerhetseksperter anbefaler på det sterkeste umiddelbar handling. Å installere de offisielle SAP-oppdateringene er det første og viktigste trinnet. I tillegg bør organisasjoner begrense tilgangen til det sårbare endepunktet for metadataopplasting og vurdere å deaktivere Visual Composer-tjenesten hvis den ikke er i bruk. Konstant overvåking av mistenkelig atferd, spesielt for web shell-indikatorer, kan bidra til å oppdage pågående eller forsøk på inntrenging.

Forescout-forskere bemerker at selv systemer som allerede er oppdatert, kan være i faresonen dersom angriperne hadde installert web-shells før utbedringen. Derfor bør responstiltak omfatte gjennomgang av systemlogger, trafikkmønstre og endepunktsadferd for å identifisere tegn på kompromittering.

Konklusjon

CVE-2025-31324 tjener som en sterk påminnelse om hvor raskt trusselaktører kan tilpasse seg og utnytte nylig oppdagede svakheter. Med globale industrier som er avhengige av SAP for forretningskritiske funksjoner, er innsatsen høy. Selv om sårbarheten er alvorlig, finnes det klare defensive tiltak – og organisasjoner som handler raskt og avgjørende kan redusere risikoen betydelig.

Å holde seg informert, årvåken og proaktiv er fortsatt det beste forsvaret i et miljø der cybertrusler fortsetter å utvikle seg i et raskt tempo.