SAP แก้ไขช่องโหว่ระดับ Critical 3 รายการที่พบในหลายผลิตภัณฑ์

SAP ได้ออกอัปเดตความปลอดภัยประจำเดือนธันวาคม โดยแก้ไขช่องโหว่ 14 รายการในผลิตภัณฑ์ต่าง ๆ รวมถึงช่องโหว่ระดับ Critical 3 รายการ

สำหรับช่องโหว่ที่มีระดับความรุนแรงสูงสุด (CVSS Score 9.9) คือ CVE-2025-42880 ซึ่งเป็นช่องโหว่ Code Injection ที่ส่งผลกระทบต่อ SAP Solution Manager ST 720

คำอธิบายของช่องโหว่ระบุว่า "เนื่องจากขาดการตรวจสอบความปลอดภัยของข้อมูล input ทำให้ SAP Solution Manager เปิดช่องให้ผู้โจมตีที่ผ่านการยืนยันตัวตน สามารถแทรกโค้ดที่เป็นอันตรายเข้ามาได้เมื่อเรียกใช้โมดูลฟังก์ชันที่เปิดใช้งานการเข้าถึงระยะไกล"

"การโจมตีนี้อาจทำให้ผู้โจมตีสามารถควบคุมระบบได้อย่างสมบูรณ์ ซึ่งส่งผลกระทบอย่างรุนแรงต่อความลับ, ความสมบูรณ์ และความพร้อมใช้งานของระบบ"

SAP Solution Manager เป็นแพลตฟอร์มกลางสำหรับการบริหารจัดการ Lifecycle และการเฝ้าระวังระบบของ SAP ซึ่งองค์กรต่าง ๆ นิยมใช้สำหรับงานหลากหลายด้าน เช่น การเฝ้าระวังระบบ, การกำหนดค่าทางเทคนิค, ระบบจัดการเหตุขัดข้อง และศูนย์บริการ, การจัดการเอกสาร และการจัดการการทดสอบระบบ

ช่องโหว่ที่มีระดับความรุนแรงรองลงมาที่ SAP ได้ทำการแก้ไขในเดือนนี้ เกี่ยวข้องกับช่องโหว่หลายรายการใน Apache Tomcat ซึ่งส่งผลกระทบต่อ SAP Commerce Cloud components ในเวอร์ชัน HY_COM 2205, COM_CLOUD 2211 และ COM_CLOUD 2211-JDK21

ช่องโหว่กลุ่มนี้ถูกระบุรวมกันในระบบของ SAP Commerce Cloud ภายใต้หมายเลขเดียวกันคือ CVE-2025-55754 โดยมีคะแนนความรุนแรง CVSS อยู่ที่ 9.6

SAP Commerce Cloud เป็นแพลตฟอร์ม e-commerce ระดับองค์กรที่รองรับร้านค้าออนไลน์ขนาดใหญ่ด้วยระบบแคตตาล็อกสินค้า, การกำหนดราคา, โปรโมชัน, ระบบชำระเงิน, การจัดการคำสั่งซื้อ, บัญชีลูกค้า และการเชื่อมต่อกับระบบ ERP/CRM ซึ่งโดยทั่วไปมักใช้งานโดยผู้ค้าปลีกรายใหญ่ และแบรนด์ระดับโลก

ส่วนช่องโหว่ Critical รายการที่ 3 (CVSS Score : 9.1) ที่ได้รับการแก้ไขในเดือนนี้คือ CVE-2025-42928 ซึ่งเป็นช่องโหว่ประเภท Deserialization ที่ส่งผลกระทบต่อ SAP jConnect โดยภายใต้เงื่อนไขบางประการ ช่องโหว่นี้อาจทำให้ผู้ใช้ที่มีสิทธิ์ระดับสูงสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลบนเครื่องเป้าหมายได้ ผ่านการป้อนข้อมูลที่สร้างขึ้นเป็นพิเศษ

SAP jConnect คือไดรเวอร์ JDBC ที่นักพัฒนาและผู้ดูแลฐานข้อมูลใช้ในการเชื่อมต่อแอปพลิเคชันภาษา Java เข้ากับฐานข้อมูล SAP ASE และ SAP SQL Anywhere

ประกาศของ SAP ประจำเดือนธันวาคม 2025 ยังระบุถึงการแก้ไขช่องโหว่ที่มีความรุนแรงระดับ High อีก 5 รายการ และระดับ Medium อีก 6 รายการ ซึ่งครอบคลุมปัญหา Memory Corruption, การขาดการตรวจสอบการยืนยันตัวตน และสิทธิ์การเข้าถึง, การโจมตีแบบ Cross-Site Scripting (XSS) และช่องโหว่การเปิดเผยข้อมูล

โซลูชันของ SAP ถือเป็นรากฐานสำคัญที่อยู่ในระบบขององค์กร และใช้บริหารจัดการงานที่มีความสำคัญ และมีมูลค่าสูง ทำให้เป็นเป้าหมายที่สำคัญสำหรับผู้โจมตี

ในช่วงต้นปีที่ผ่านมา นักวิจัยจาก SecurityBridge เคยตรวจพบการโจมตีที่เกิดขึ้นจริง ที่ใช้ประโยชน์จากช่องโหว่ Code Injection (CVE-2025-42957) ซึ่งส่งผลกระทบต่อระบบ SAP S/4HANA, Business One และ NetWeaver

SAP ยังไม่ได้ระบุว่าช่องโหว่ทั้ง 14 รายการนั้นถูกนำไปใช้ในการโจมตีจริงแล้วหรือไม่ แต่ผู้ดูแลระบบควรเร่งดำเนินการติดตั้งแพตช์แก้ไขโดยทันทีเพื่อความปลอดภัย

ที่มา : bleepingcomputer