Se ha identificado una nueva vulnerabilidad Zero-Day en el sistema SAP NetWeaver 7.xx, que está siendo explotada activamente por actores de amenazas. Esta vulnerabilidad, con un puntaje CVSS de 10.0 y asignada como CVE-2025-31324, permite a los atacantes cargar shells web JSP para ejecutar código remoto y tomar control del servidor.
Vulnerabilidad en SAP Visual Composer
La vulnerabilidad afecta específicamente al componente SAP Visual Composer dentro de NetWeaver 7.xx. Permite que actores no autenticados carguen archivos arbitrarios, lo que resulta en una explotación completa del sistema objetivo.
SAP Visual Composer no está instalado por defecto, pero es ampliamente habilitado debido a su utilidad para desarrollar componentes empresariales sin necesidad de programación. La vulnerabilidad se encuentra en el endpoint «/developmentserver/metadatauploader» del entorno NetWeaver.
Detalles técnicos y explotación activa
Los actores de amenazas pueden cargar shells web JSP en la ruta «servlet_jsp/irj/root/», lo que les permite acceder remoto y persistentemente al sistema. Esto facilita el acceso total a los recursos de SAP, incluida la base de datos del sistema.
La explotación activa fue detectada por Onapsis Threat Intelligence, quien confirmó que se pueden enviar solicitudes POST cuidadosamente diseñadas al endpoint mencionado sin necesidad de autenticación. Se han observado incidentes específicos utilizando técnicas como Brute Ratel C4 y Heaven's Gate para eludir las protecciones de los endpoints de Linux.
Respuesta de SAP
SAP lanzó un parche de emergencia el 24 de abril de 2025, con la nota 3594142. La vulnerabilidad afecta a Visual Composer Framework 7.50 y se recomienda aplicar el parche más reciente.
Además del parche para CVE-2025-31324, la actualización incluye correcciones para dos vulnerabilidades críticas adicionales: CVE-2025-27429 y CVE-2025-31330.
Indicadores de compromiso
Se recomienda a los usuarios verificar la presencia de archivos «jsp», «java» o «class» en los siguientes directorios del sistema operativo:
C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\root
C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\work
C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\work\syncProjectDiscovery publicó dos plantillas de Nuclei para detectar CVE-2025-31324 y verificar si los usuarios son vulnerables.
Contexto y antecedentes
El primer informe público sobre esta vulnerabilidad fue realizado por ReliaQuest, quien inicialmente sugirió una posible relación con CVE-2017-9844 o un problema de inclusión remota de archivos (RFI) no reportado. Posteriormente confirmó que la actividad maliciosa aprovecha la nueva vulnerabilidad identificada como CVE-2025-31324.
La divulgación se produce poco más de un mes después de que CISA advirtiera sobre la explotación activa de otra falla de alta gravedad en NetWeaver (CVE-2017-12637).
Conclusión
Los usuarios deben aplicar las actualizaciones disponibles y verificar los indicadores de compromiso para detectar si sus sistemas han sido afectados. Las medidas de mitigación incluyen restringir el acceso al endpoint «/developmentserver/metadatauploader» y desactivar Visual Composer si no se utiliza.