SAP_SE SAP Gateway
SAP Gateway: ACL predefinita troppo permissiva, un attaccante esterno passa per server interno
Il problema, secondo i dati ufficiali
- SAP Gateway attiva di default una Access Control List con privilegi elevati, che permette di classificare un attaccante esterno come server applicativo interno.
- Può sfruttarla un attaccante non autenticato con accesso di rete al SAP Gateway, quindi senza bisogno di un account.
- In questo modo potrebbe eseguire azioni non autorizzate nell'ambiente applicativo, con impatto elevato su riservatezza, integrità e disponibilità del sistema colpito.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- SAP Gateway: versioni 7.22EXT, 7.53, 8.04, 7.54 e altre elencate dal produttore
Ne parlano
- SAP Security Patch Day — CSIRT Italia, 10 novembre 2026
Fonti ufficiali
- me.sap.com — riferimento
- url.sap — riferimento
Descrizione ufficiale (in inglese)
SAP Gateway activates the default Access Control List with high privileges allowing categorization of external attacker as internal application server. As a result an unauthenticated attacker with network access to the SAP Gateway could exploit this weakness to potentially perform unauthorized actions within the application environment, resulting in a high impact on the confidentiality, integrity, and availability of the affected system.
Non sai se ti riguarda?
Se usi SAP_SE SAP Gateway e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 11 novembre 2026. Prima di intervenire verifica l'avviso del produttore.