Il 24 aprile SAP ha pubblicato una correzione d’emergenza, fuori dal consueto ciclo mensile, per la CVE-2025-31324: una vulnerabilità con il punteggio massimo, 10, in SAP NetWeaver, la piattaforma su cui girano molti sistemi gestionali delle grandi aziende. Quando è stata resa pubblica, la falla era già sfruttata.
Il problema sta nel componente Metadata Uploader di Visual Composer, uno strumento per creare applicazioni senza scrivere codice. Manca un controllo di autorizzazione. Inviando una richiesta costruita ad arte all’indirizzo /developmentserver/metadatauploader, un attaccante senza credenziali può caricare sul server file arbitrari, compresi file eseguibili, e da lì eseguire comandi e prendere il controllo del sistema. Visual Composer non è installato ovunque per impostazione predefinita, ma è presente in molte installazioni di NetWeaver Java. La correzione è nella nota di sicurezza 3594142.
Gli attacchi sono stati scoperti da una società di sicurezza che indagava su alcune intrusioni, prima che la falla fosse nota. Gli attaccanti caricavano web shell in formato JSP nella cartella pubblica dell’applicazione, poi le usavano per eseguire comandi da remoto e installare altri strumenti. Alcuni dei sistemi colpiti erano perfettamente aggiornati: non c’era nessuna patch da applicare. Chi ci sia dietro, e quante aziende siano state colpite, non è stato reso noto.
Il gestionale che nessuno vuole toccare
Un sistema SAP contiene dati finanziari, ordini, fornitori e risorse umane, cioè quasi tutto ciò che conta in un’azienda. Ed è anche il sistema che si aggiorna con più prudenza, perché fermarlo significa fermare fatturazione, magazzino e paghe. Quella prudenza, comprensibile, allunga i tempi di esposizione, e gli attaccanti lo sanno.
Applica subito la nota 3594142. Se non puoi, limita l’accesso all’indirizzo /developmentserver/metadatauploader, oppure disattiva Visual Composer se non lo usi: molti lo hanno installato anni fa e se ne sono dimenticati. E chiediti quali interfacce dei tuoi sistemi SAP sono raggiungibili da Internet senza averne bisogno.
Poi cerca file .jsp, .java o .class sospetti nelle cartelle servlet_jsp/irj/root e servlet_jsp/irj/work. Se trovi una web shell, non cancellarla e basta. Considera il sistema compromesso e avvia la gestione dell’incidente prima di ripulire, perché chi l’ha caricata potrebbe aver già fatto altro.
