Actores de amenazas están explotando activamente una nueva vulnerabilidad Zero-Day en SAP NetWeaver 7.xx para cargar shells web JSP con el objetivo de ejecutar código y tomar el control del servidor.
- Una vulnerabilidad Zero-Day con CVSS 10.0 se está explotando activamente.
- La vulnerabilidad CVE-2025-31324 afecta a SAP Visual Composer de SAP NetWeaver 7.xx, permitiendo que actores de amenazas no autenticados carguen archivos arbitrarios, lo que resulta en un ataque completo e inmediato del sistema objetivo.
- SAP Visual Composer no está instalado por defecto, pero está ampliamente habilitado porque era un componente clave utilizado por especialistas en procesos de negocio para desarrollar componentes de aplicaciones empresariales sin necesidad de programar.
- El primer informe público se realizó a través del blog de la empresa de investigación de seguridad ReliaQuest.
- Onapsis Threat Intelligence detectó evidencia de explotación activa, la cual fue reportada por varias empresas de investigación e investigadores de seguridad.
- SAP lanzó un parche de emergencia para este problema el 24 de abril de 2025.
- RedRays también ha publicado detalles técnicos de la explotación.
Inicialmente, ReliaQuest dijo en un informe que "Es probable que la explotación esté relacionada con una vulnerabilidad previamente descubierta, como CVE-2017-9844, o con un problema de inclusión remota de archivos (RFI) no reportado".
Posteriormente, la misma ReliaQuest confirmó que la actividad maliciosa detallada aprovecha una nueva vulnerabilidad que ahora está identificada como CVE-2025-31324 (CVSS: 10). SAP ya publicó una actualización para abordar esta falla (Note 3594142).
La falla está en el endpoint "/developmentserver/metadatauploader" del entorno NetWeaver, lo que permite a actores de amenazas desconocidos cargar shells web maliciosos basados en JSP en la ruta "servlet_jsp/irj/root/" para acceso remoto persistente y entregar cargas útiles adicionales.
En otras palabras, se carga una shell web JSP que permite subir archivos no autorizados, permitir un control total sobre los hosts infectados, ejecutar código remoto y extraer datos confidenciales. Se han observado incidentes específicos utilizando el marco de postexplotación Brute Ratel C4, así como una técnica conocida llamada Heaven's Gate para eludir las protecciones de los endpoints de Linux.
Al menos en un caso, los actores de amenazas tardaron varios días en pasar del acceso inicial exitoso a la explotación posterior, lo que plantea la posibilidad de que el atacante sea un intermediario de acceso inicial (IAB) que obtiene y vende acceso a otros grupos de amenazas en foros clandestinos.
"El cargador de metadatos de SAP NetWeaver Visual Composer no está protegido con la autorización adecuada, lo que permite que un agente no autenticado cargue binarios ejecutables potencialmente maliciosos que podrían dañar gravemente el sistema host", se lee en el aviso sobre la vulnerabilidad.
La divulgación se produce poco más de un mes después de que la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE.UU. (CISA) advirtiera sobre la explotación activa de otra falla de alta gravedad de NetWeaver (CVE-2017-12637) que podría permitir a un atacante obtener archivos de configuración confidenciales de SAP.
En un informe aparte, la firma de seguridad de SAP, Onapsis, afirmó que la vulnerabilidad se puede explotar mediante HTTP/HTTPS, lo que permite a los atacantes enviar solicitudes POST cuidadosamente diseñadas dirigidas al endpoint "/developmentserver/metadatauploader" sin necesidad de autenticación.
Las shells web permiten al atacante ejecutar comandos arbitrarios en el contexto del sistema, con los privilegios del usuario del sistema operativo <sid>adm, lo que les otorga acceso total a todos los recursos de SAP. Los ataques no se han atribuido a un grupo de amenazas específico.
Con este acceso, el atacante obtiene acceso no autorizado al sistema operativo SAP subyacente utilizando el usuario y los privilegios de los procesos que se ejecutan en el servidor de aplicaciones SAP, lo que implica acceso total a cualquier recurso de SAP, incluida la base de datos del sistema SAP, sin restricciones, lo que le permite realizar diversas acciones, añadió la empresa.
Se recomienda a los usuarios verificar la presencia de los siguientes indicadores de compromiso (IoC) para determinar si se han visto afectados. Verificar los siguientes directorios del sistema operativo para detectar la presencia de archivos "jsp", "java" o "class".
C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\root
C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\work
C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\work\sync
ProjectDiscovery ha publicado dos plantillas de Nuclei para detectar CVE-2025-31324 con el fin de verificar si los usuarios son vulnerables y determinar si sus instancias están comprometidas por la puerta trasera de shell web JSP utilizada por los actores de amenazas.
Protección luego de la aplicación del parche de abril
La vulnerabilidad afecta a Visual Composer Framework 7.50 y se recomienda aplicar el parche más reciente. Esta actualización de seguridad de emergencia se publicó después de la actualización regular de SAP de abril de 2025, por lo que si aplicó dicha actualización a principios de este mes (publicada el 8 de abril de 2025), aún es vulnerable a CVE-2025-31324.
Además, la actualización de emergencia incluye correcciones para dos vulnerabilidades críticas adicionales: CVE-2025-27429 (inyección de código en SAP S/4HANA) y CVE-2025-31330 (inyección de código en SAP Landscape Transformation).
A quienes no puedan aplicar las actualizaciones que abordan CVE-2025-31324, pueden aplicar las siguientes mitigaciones:
- Restringir el acceso al endpoint /developmentserver/metadatauploader.
- Si no utiliza Visual Composer, considere desactivarlo por completo. Reenvíe los registros a SIEM y analice la ruta del servlet en busca de archivos no autorizados.
- Realizar un análisis exhaustivo del entorno para localizar y eliminar archivos sospechosos antes de aplicar las medidas de mitigación.