“SAP อุดช่องโหว่ CVSS 10.0 ใน NetWeaver — เสี่ยง RCE โดยไม่ต้องยืนยันตัวตน”
SAP ได้ออกแพตช์ความปลอดภัยเพื่อแก้ไขช่องโหว่ร้ายแรงในระบบ NetWeaver Application Server ABAP ซึ่งเป็นหัวใจของระบบ ERP ที่ใช้กันอย่างแพร่หลายทั่วโลก โดยช่องโหว่นี้ได้รับรหัส CVE-2023-40311 และมีคะแนนความรุนแรง CVSS เต็ม 10.0 ซึ่งหมายถึงระดับ “วิกฤต” ที่สามารถถูกโจมตีจากระยะไกลโดยไม่ต้องยืนยันตัวตน
ช่องโหว่นี้เกิดจากการจัดการอินพุตที่ไม่ปลอดภัยในฟีเจอร์ Remote Code Management (RCM) ซึ่งเปิดให้ผู้โจมตีสามารถส่งคำสั่งที่ออกแบบมาเฉพาะเพื่อรันโค้ดบนเซิร์ฟเวอร์ SAP ได้ทันที โดยไม่ต้องมีสิทธิ์เข้าระบบก่อน
SAP ระบุว่าช่องโหว่นี้ส่งผลกระทบต่อระบบที่เปิดใช้งานฟีเจอร์ RCM และไม่ได้มีการกำหนดสิทธิ์อย่างเหมาะสม โดยเฉพาะระบบที่เปิดให้เข้าถึงผ่านอินเทอร์เน็ตหรือเชื่อมต่อกับระบบภายนอก
นักวิจัยจาก Onapsis ซึ่งเป็นพันธมิตรด้านความปลอดภัยของ SAP เป็นผู้ค้นพบช่องโหว่นี้ และได้แจ้งให้ SAP ทราบก่อนการเปิดเผยต่อสาธารณะ โดย SAP ได้ออกแพตช์ใน Security Patch Day เดือนตุลาคม 2025 พร้อมคำแนะนำให้ผู้ดูแลระบบอัปเดตทันที
ช่องโหว่ CVE-2023-40311 ใน SAP NetWeaver Application Server ABAP
ได้คะแนน CVSS เต็ม 10.0 ถือเป็นระดับ “วิกฤต”
ช่องโหว่เกิดจากการจัดการอินพุตในฟีเจอร์ Remote Code Management (RCM)
เปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน
ส่งผลกระทบต่อระบบที่เปิดใช้งาน RCM และไม่มีการกำหนดสิทธิ์ที่เหมาะสม
โดยเฉพาะระบบที่เชื่อมต่อกับอินเทอร์เน็ตหรือระบบภายนอก
นักวิจัยจาก Onapsis เป็นผู้ค้นพบช่องโหว่
แจ้ง SAP ก่อนการเปิดเผยต่อสาธารณะ
SAP ออกแพตช์ใน Security Patch Day เดือนตุลาคม 2025
พร้อมคำแนะนำให้ผู้ดูแลระบบอัปเดตทันที
ช่องโหว่นี้สามารถถูกโจมตีจากระยะไกลโดยไม่ต้องยืนยันตัวตน
เสี่ยงต่อการถูกควบคุมระบบ SAP ทั้งระบบ
ระบบที่เปิดใช้งาน RCM โดยไม่มีการกำหนดสิทธิ์อย่างเหมาะสม
อาจถูกโจมตีได้ทันทีหากเชื่อมต่อกับอินเทอร์เน็ต
การไม่อัปเดตแพตช์ทันทีอาจทำให้ระบบถูกเจาะโดย botnet หรือ ransomware
โดยเฉพาะในองค์กรที่ใช้ SAP เป็นระบบหลักในการจัดการข้อมูล
การตรวจสอบสิทธิ์และการตั้งค่า access control เป็นสิ่งจำเป็น
หากละเลยอาจเปิดช่องให้เกิดการโจมตีแบบ lateral movement
https://securityonline.info/sap-patches-critical-10-0-flaw-in-netweaver-unauthenticated-rce-risk/
SAP ได้ออกแพตช์ความปลอดภัยเพื่อแก้ไขช่องโหว่ร้ายแรงในระบบ NetWeaver Application Server ABAP ซึ่งเป็นหัวใจของระบบ ERP ที่ใช้กันอย่างแพร่หลายทั่วโลก โดยช่องโหว่นี้ได้รับรหัส CVE-2023-40311 และมีคะแนนความรุนแรง CVSS เต็ม 10.0 ซึ่งหมายถึงระดับ “วิกฤต” ที่สามารถถูกโจมตีจากระยะไกลโดยไม่ต้องยืนยันตัวตน
ช่องโหว่นี้เกิดจากการจัดการอินพุตที่ไม่ปลอดภัยในฟีเจอร์ Remote Code Management (RCM) ซึ่งเปิดให้ผู้โจมตีสามารถส่งคำสั่งที่ออกแบบมาเฉพาะเพื่อรันโค้ดบนเซิร์ฟเวอร์ SAP ได้ทันที โดยไม่ต้องมีสิทธิ์เข้าระบบก่อน
SAP ระบุว่าช่องโหว่นี้ส่งผลกระทบต่อระบบที่เปิดใช้งานฟีเจอร์ RCM และไม่ได้มีการกำหนดสิทธิ์อย่างเหมาะสม โดยเฉพาะระบบที่เปิดให้เข้าถึงผ่านอินเทอร์เน็ตหรือเชื่อมต่อกับระบบภายนอก
นักวิจัยจาก Onapsis ซึ่งเป็นพันธมิตรด้านความปลอดภัยของ SAP เป็นผู้ค้นพบช่องโหว่นี้ และได้แจ้งให้ SAP ทราบก่อนการเปิดเผยต่อสาธารณะ โดย SAP ได้ออกแพตช์ใน Security Patch Day เดือนตุลาคม 2025 พร้อมคำแนะนำให้ผู้ดูแลระบบอัปเดตทันที
ช่องโหว่ CVE-2023-40311 ใน SAP NetWeaver Application Server ABAP
ได้คะแนน CVSS เต็ม 10.0 ถือเป็นระดับ “วิกฤต”
ช่องโหว่เกิดจากการจัดการอินพุตในฟีเจอร์ Remote Code Management (RCM)
เปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน
ส่งผลกระทบต่อระบบที่เปิดใช้งาน RCM และไม่มีการกำหนดสิทธิ์ที่เหมาะสม
โดยเฉพาะระบบที่เชื่อมต่อกับอินเทอร์เน็ตหรือระบบภายนอก
นักวิจัยจาก Onapsis เป็นผู้ค้นพบช่องโหว่
แจ้ง SAP ก่อนการเปิดเผยต่อสาธารณะ
SAP ออกแพตช์ใน Security Patch Day เดือนตุลาคม 2025
พร้อมคำแนะนำให้ผู้ดูแลระบบอัปเดตทันที
ช่องโหว่นี้สามารถถูกโจมตีจากระยะไกลโดยไม่ต้องยืนยันตัวตน
เสี่ยงต่อการถูกควบคุมระบบ SAP ทั้งระบบ
ระบบที่เปิดใช้งาน RCM โดยไม่มีการกำหนดสิทธิ์อย่างเหมาะสม
อาจถูกโจมตีได้ทันทีหากเชื่อมต่อกับอินเทอร์เน็ต
การไม่อัปเดตแพตช์ทันทีอาจทำให้ระบบถูกเจาะโดย botnet หรือ ransomware
โดยเฉพาะในองค์กรที่ใช้ SAP เป็นระบบหลักในการจัดการข้อมูล
การตรวจสอบสิทธิ์และการตั้งค่า access control เป็นสิ่งจำเป็น
หากละเลยอาจเปิดช่องให้เกิดการโจมตีแบบ lateral movement
https://securityonline.info/sap-patches-critical-10-0-flaw-in-netweaver-unauthenticated-rce-risk/
🚨 “SAP อุดช่องโหว่ CVSS 10.0 ใน NetWeaver — เสี่ยง RCE โดยไม่ต้องยืนยันตัวตน”
SAP ได้ออกแพตช์ความปลอดภัยเพื่อแก้ไขช่องโหว่ร้ายแรงในระบบ NetWeaver Application Server ABAP ซึ่งเป็นหัวใจของระบบ ERP ที่ใช้กันอย่างแพร่หลายทั่วโลก โดยช่องโหว่นี้ได้รับรหัส CVE-2023-40311 และมีคะแนนความรุนแรง CVSS เต็ม 10.0 ซึ่งหมายถึงระดับ “วิกฤต” ที่สามารถถูกโจมตีจากระยะไกลโดยไม่ต้องยืนยันตัวตน
ช่องโหว่นี้เกิดจากการจัดการอินพุตที่ไม่ปลอดภัยในฟีเจอร์ Remote Code Management (RCM) ซึ่งเปิดให้ผู้โจมตีสามารถส่งคำสั่งที่ออกแบบมาเฉพาะเพื่อรันโค้ดบนเซิร์ฟเวอร์ SAP ได้ทันที โดยไม่ต้องมีสิทธิ์เข้าระบบก่อน
SAP ระบุว่าช่องโหว่นี้ส่งผลกระทบต่อระบบที่เปิดใช้งานฟีเจอร์ RCM และไม่ได้มีการกำหนดสิทธิ์อย่างเหมาะสม โดยเฉพาะระบบที่เปิดให้เข้าถึงผ่านอินเทอร์เน็ตหรือเชื่อมต่อกับระบบภายนอก
นักวิจัยจาก Onapsis ซึ่งเป็นพันธมิตรด้านความปลอดภัยของ SAP เป็นผู้ค้นพบช่องโหว่นี้ และได้แจ้งให้ SAP ทราบก่อนการเปิดเผยต่อสาธารณะ โดย SAP ได้ออกแพตช์ใน Security Patch Day เดือนตุลาคม 2025 พร้อมคำแนะนำให้ผู้ดูแลระบบอัปเดตทันที
✅ ช่องโหว่ CVE-2023-40311 ใน SAP NetWeaver Application Server ABAP
➡️ ได้คะแนน CVSS เต็ม 10.0 ถือเป็นระดับ “วิกฤต”
✅ ช่องโหว่เกิดจากการจัดการอินพุตในฟีเจอร์ Remote Code Management (RCM)
➡️ เปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน
✅ ส่งผลกระทบต่อระบบที่เปิดใช้งาน RCM และไม่มีการกำหนดสิทธิ์ที่เหมาะสม
➡️ โดยเฉพาะระบบที่เชื่อมต่อกับอินเทอร์เน็ตหรือระบบภายนอก
✅ นักวิจัยจาก Onapsis เป็นผู้ค้นพบช่องโหว่
➡️ แจ้ง SAP ก่อนการเปิดเผยต่อสาธารณะ
✅ SAP ออกแพตช์ใน Security Patch Day เดือนตุลาคม 2025
➡️ พร้อมคำแนะนำให้ผู้ดูแลระบบอัปเดตทันที
‼️ ช่องโหว่นี้สามารถถูกโจมตีจากระยะไกลโดยไม่ต้องยืนยันตัวตน
⛔ เสี่ยงต่อการถูกควบคุมระบบ SAP ทั้งระบบ
‼️ ระบบที่เปิดใช้งาน RCM โดยไม่มีการกำหนดสิทธิ์อย่างเหมาะสม
⛔ อาจถูกโจมตีได้ทันทีหากเชื่อมต่อกับอินเทอร์เน็ต
‼️ การไม่อัปเดตแพตช์ทันทีอาจทำให้ระบบถูกเจาะโดย botnet หรือ ransomware
⛔ โดยเฉพาะในองค์กรที่ใช้ SAP เป็นระบบหลักในการจัดการข้อมูล
‼️ การตรวจสอบสิทธิ์และการตั้งค่า access control เป็นสิ่งจำเป็น
⛔ หากละเลยอาจเปิดช่องให้เกิดการโจมตีแบบ lateral movement
https://securityonline.info/sap-patches-critical-10-0-flaw-in-netweaver-unauthenticated-rce-risk/
0 Comments
0 Shares
41 Views
0 Reviews
Thai