Ringkasan Eksekutif
CVE-2025-31324 adalah kerentanan eksekusi kode jarak jauh (RCE) kritis yang memengaruhi SAP NetNetWeaver Development Server , salah satu komponen inti yang digunakan di lingkungan perusahaan untuk pengembangan dan integrasi aplikasi. Kerentanan ini berasal dari validasi yang tidak tepat terhadap file model yang diunggah melalui endpoint metadatauploader yang terekspos . Dengan mengeksploitasi kelemahan ini, penyerang dapat mengunggah file berbahaya—biasanya dibuat sebagai payload ZIP/JAR aliran aplikasi/oktet—yang secara keliru diproses oleh server sebagai konten tepercaya.
Risikonya signifikan karena sistem SAP merupakan tulang punggung operasi bisnis global , menangani keuangan, rantai pasokan, sumber daya manusia, dan data pelanggan. Eksploitasi yang berhasil memungkinkan penyerang untuk mendapatkan eksekusi kode jarak jauh tanpa otentikasi , yang dapat menyebabkan:
- Pijakan yang gigih dalam jaringan perusahaan
- Pencurian data bisnis sensitif dan kekayaan intelektual
- Gangguan pada proses kritis yang digerakkan oleh SAP
- Gerakan lateral menuju aset bernilai tinggi lainnya dalam organisasi
Mengingat skala penerapan SAP di perusahaan Fortune 500 dan lembaga pemerintah, CVE-2025-31324 menimbulkan ancaman berdampak tinggi yang harus ditangani oleh pihak yang bertanggung jawab atas keamanan dengan segera dan tepat.
Ikhtisar Kerentanan
- ID CVE: CVE-2025-31324
- Tipe: Unggah Berkas Sembarangan Tanpa Autentikasi → Eksekusi Kode Jarak Jauh (RCE)
- Skor CVSS: 8 (Kritis) (berdasarkan vektor: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)
- Kekritisan: High – kompromi penuh sistem SAP dimungkinkan
- Produk yang terkena dampak: SAP NetWeaver Application Server (modul Server Pengembangan), versi sebelum patchset September 2025
- Eksploitasi: Aktif sejak Maret 2025, banyak digunakan sebagai senjata setelah eksploitasi dirilis pada Agustus 2025
- Dampak bisnis: Akses penyerang yang terus-menerus, pencurian data, pergerakan lateral, dan potensi gangguan pada operasi ERP yang penting bagi misi
Lanskap Ancaman & Eksploitasi
Eksploitasi aktif dimulai pada Maret–April 2025, dengan penyerang mengunggah web shell seperti helper.jsp, cache.jsp, atau berkas .jsp dengan nama acak ke server SAP. Pada sistem Linux, sebuah backdoor tersembunyi bernama Auto-Color diterapkan, yang memungkinkan reverse shell, manipulasi berkas, dan operasi evasif.
Pada bulan Agustus 2025, skrip eksploitasi tersebut dipublikasikan oleh "Scattered LAPSUS$ Hunters – ShinyHunters," yang memicu gelombang baru serangan otomatis yang meluas. Skrip tersebut mencakup branding dan ejekan yang dapat dikenali, sebuah sinyal berharga bagi para pembela.
Rincian Teknis
Akar masalah:
Titik akhir 'metadatauploader' gagal membersihkan berkas model biner yang diunggah. Titik akhir ini memercayai muatan 'Content-Type: application/octet-stream' yang disediakan klien dan menguraikannya sebagai metadata model SAP yang valid.
Pelatuk:
Muatan yang Diamati: Dimulai dengan PK (header ZIP), menyematkan .properties + bytecode terkompilasi yang memicu eksekusi kode saat diurai.
Dampak: Eksekusi kode sewenang-wenang dalam konteks server SAP NetWeaver, sering kali menyebabkan gangguan pada sistem secara penuh.
Eksploitasi di Alam Liar
Maret–April 2025 : Eksploitasi pertama yang diamati menggunakan web shell JSP.
Agustus 2025 : Alat eksploitasi publik dirilis oleh para pemburu LAPSUS$ yang tersebar – ShinyHunters, yang memicu serangan otomatis massal.
Laporan Kerusakan : Lebih dari 1,200 server SAP NetNetWeaver Dev yang terekspos dan dipindai di Shodan menunjukkan upaya eksploitasi. Beberapa intrusi telah dikonfirmasi di sektor manufaktur, ritel, dan telekomunikasi. Insiden eksfiltrasi data dan penyebaran reverse shell dikonfirmasi di setidaknya 8 perusahaan besar.
Eksploitasi
Rantai Serangan:
1. Siapkan Muatan – Penyerang membuat ZIP/JAR yang berisi definisi atau kelas model berbahaya.
2. Kirim Muatan – Kirim HTTP POST yang dibuat ke /metadatauploader dengan application/octet-stream.
3. Unggahan Diterima – Server menulis/memuat file berbahaya tanpa validasi.
4. Eksekusi – Kode dieksekusi saat model diproses oleh NetWeaver.
Indikator dalam PCAP:
– Permintaan POST /developmentserver/metadatauploader
– Jenis Konten: aplikasi/aliran oktet dengan konten biner awalan PK
Proteksi
– Patch: Terapkan pembaruan keamanan SAP September 2025 segera.
– Deteksi IPS/IDS:
• Cocokkan permintaan POST ke /metadatauploader yang berisi CONTENTTYPE=MODEL.
• Mendeteksi muatan biner yang dimulai dengan PK di badan HTTP.
– EDR/XDR: Memantau proses SAP yang memunculkan proses anak yang tidak diharapkan (cmd.exe, powershell, dll).
– Praktik Terbaik: Batasi paparan server pengembangan hanya pada jaringan tepercaya.
Indikator Kompromi (IoC)
| Artefak | Detail |
| 1f72bd2643995fab4ecf7150b6367fa1b3fab17afd2abed30a98f075e4913087 | Webshell Helper.jsp |
| 794cb0a92f51e1387a6b316b8b5ff83d33a51ecf9bf7cc8e88a619ecb64f1dcf | Cache.jsp webshell |
| 0a866f60537e9decc2d32cbdc7e4dcef9c5929b84f1b26b776d9c2a307c7e36e | rrr141.jsp webshell |
| 4d4f6ea7ebdc0fbf237a7e385885d51434fd2e115d6ea62baa218073729f5249 | rrxx1.jsp webshell |
jaringan:
– URI: /developmentserver/metadatauploader?CONTENTTYPE=MODEL&CLIENT=1
– Header: Jenis Konten: aplikasi/aliran-oktet
– Tubuh biner yang dimulai dengan PK
Files:
– ZIP/JAR tak terduga di direktori model SAP
– File .properties yang dimodifikasi di jalur unggah
Proses:
– Sistem pemijahan biner SAP NetWeaver
Pemetaan MITRE ATT&CK
– T1190 – Memanfaatkan Aplikasi yang Menghadap Publik
– T1059 – Eksekusi Perintah
– T1105 – Transfer Alat Masuk
– T1071.001 – Protokol Lapisan Aplikasi: Protokol Web
Verifikasi Patch
– Konfirmasi SAP NetWeaver telah ditambal hingga rilis September 2025.
– Uji dengan permintaan metadatauploader yang dibuat – server yang ditambal menolak muatan biner.
Kesimpulan
CVE-2025-31324 menyoroti risiko titik akhir unggahan yang tidak aman di middleware perusahaan. Satu unggahan file yang tidak divalidasi dapat menyebabkan gangguan total pada sistem SAP. Mengingat peran SAP dalam operasi bisnis inti, kerentanan ini harus ditangani sebagai prioritas tinggi dengan segera melakukan patching dan pemantauan jaringan untuk upaya eksploitasi.
Referensi
– Penasihat Keamanan SAP (September 2025) – CVE-2025-31324
– NVD – Baca Selengkapnya
– Kerangka Kerja MITRE ATT&CK – Baca Selengkapnya
Perlindungan Penyembuhan Cepat
Semua pelanggan Quick Heal dilindungi dari kerentanan ini dengan mengikuti tanda tangan berikut:
- HTTP/CVE-2025-31324!VS.49935
- HTTP/CVE-2025-31324!SP.49639
Penulis:
Satyarth Prakash
Vineet Sarote
Adrip Mukherjee
