С 28 марта 2026 года в открытом доступе обнаружено 454 уязвимых SAP NetWeaver-системы, каждая из которых по юридическому адресу доступна по пути /developmentserver/metadatauploader. Эта статья подробно расскажет, что означает «юридический адрес 400 САП», почему он стал точкой атаки, и какие действия необходимо предпринять уже сегодня.
Что такое «юридический адрес 400 САП»
«Юридический адрес» в контексте SAP – это не юридический адрес компании, а URL-путь веб-сервера, по которому публично доступен компонент SAP NetWeaver Visual Composer → Metadata Uploader. При обращении на этот адрес без авторизации злоумышленник может загрузить вредоносный файл и получить полный контроль над системой.
- Полный “юридический” путь:
https://<your-sap-host>/developmentserver/metadatauploader - CVE-идентификатор: CVE-2025-31324
- Уровень критичности: 9.8 / 10 (Critical)
- Эксплуатация: без пароля, без взаимодействия с пользователем
Как проверить, подвержена ли ваша система уязвимости
-
Откройте браузер и перейдите по адресу:
https://<ваш-сервер>/developmentserver/metadatauploaderЕсли вы увидите страницу загрузки без запроса логина/пароля – система уязвима.
-
Проверьте логи веб-сервера на наличие POST-запросов к этому пути.
-
Выполните команду SAP-администратора:
SMICM → Display Services → /developmentserver/metadatauploader
Если статус «Active» и нет строки «Logon Procedure: Logon Required» – немедленно приступайте к защите.
Немедленные меры защиты
Установка официального патча
Компания SAP выпустила Security Note 3594142 24 апреля 2025 года. Патч закрывает CVE-2025-31324 и доступен через:
- SAP Support Portal: https://launchpad.support.sap.com/#/notes/3594142
- SAP Software Update Manager (SUM)
Временные меры, если патч не может быть установлен немедленно
Следуйте рекомендациям из SAP Note 3593336:
- Отключите компонент Metadata Uploader через транзакцию
SICF:
SICF → Service Path: /developmentserver/metadatauploader → Deactivate
/developmentserver/metadatauploader.Контакты для обращений по инцидентам и поддержке
| Организация / Служба | Телефон / Email | Часы работы (UTC+5) | Язык |
|---|---|---|---|
| SAP Global Support | +49 6227 7-47474 support@sap;com | 24 × 7 | Русский, English |
| UzCERT (CERT.uz) Координация в Узбекистане | +998 71 202-20-00 cert@uzcert.uz | Пн–Пт 09:00–18:00 | Русский, Oʻzbek, English |
| Solix Technologies Экспертная поддержка AS400 & SAP | 1-888-GO-SOLIX (US) info@solix.com | 24 × 5 | English, Русский чат |
| Shadowserver Foundation Отчёты о сканировании | https://www.shadowserver.org/ | 24 × 7 | English |
Пошаговый план действий ИТ-отдела
- День 1: Сканируйте все внешние IP-адреса организации на наличие пути
/developmentserver/metadatauploader. - День 2: Сформируйте список уязвимых систем и отправьте его на support@sap.com с темой «CVE-2025-31324 Response Plan».
- День 3: Внедрите временные меры (SICF → Deactivate) и включите усиленный мониторинг.
- День 4–7: Установите патч 3594142 в тестовой среде, проведите регрессионное тестирование.
- День 8–10: Разверните патч в продакшене и подтвердите закрытие уязвимости.
- День 11+: Проведите аудит безопасности всей SAP-ландшафта, включая AS400-банковские компоненты при необходимости.
Часто задаваемые вопросы
Вопрос: У нас нет Visual Composer, мы в безопасности?
Ответ: Модуль может быть установлен как зависимость Java-стека SAP. Проверьте через SMINST – наличие пакета VC.
Вопрос: Патч требует остановки системы. Есть ли hot-patch?
Вопрос: Как попасть в список рассылки Shadowserver?
Ответ: Подайте заявку на https://www.shadowserver.org/apply/ – вы получите ежедневные отчёты о ваших IP-диапазонах.
Цифра «400» в названии статьи – это не округление: 454 реальных SAP-сервера в мире уже сегодня доступны злоумышленникам по «юридическому адресу» /developmentserver/metadatauploader. Каждая минута промедления увеличивает риск компрометации данных и репутационных потерь.
Действуйте немедленно: проверьте свои системы, установите патч или временно отключите компонент, а при необходимости обращайтесь в перечисленные службы поддержки. Безопасность – это ответственность каждого ИТ-специалиста.