概述
2025年初，SAP NetWeaver Visual Composer（一款广泛用于构建商业应用程序的工具）披露了一个关键漏洞——CVE-2025-31324。该漏洞允许无限制的文件上传，攻击者可能借此将恶意脚本或可执行文件上传至服务器，从而导致远程代码执行、数据泄露或企业网络内的横向移动。
鉴于SAP在许多组织运营中的核心作用，此漏洞对业务连续性和数据完整性构成重大威胁。
技术细节
CVE-2025-31324源于SAP NetWeaver Visual Composer中对文件上传的不当验证。攻击者可以利用此缺陷上传恶意文件（如Web Shell或可执行文件），且不受文件类型或内容的限制。一旦上传成功，攻击者即可远程执行该文件，获得对系统的未授权访问。
此漏洞尤其危险，因为：
- 无需身份验证即可远程利用。
- 为进一步攻击（包括权限提升和横向移动）提供立足点。
- 针对通常处理敏感业务逻辑和数据的平台。
为何重要
SAP系统通常是企业运营的支柱，管理从财务、人力资源到供应链物流的各个方面。成功利用CVE-2025-31324可能导致：
- 中断关键业务流程。
- 导致涉及敏感企业或客户信息的数据泄露。
- 造成监管不合规和声誉损害。
Trend Micro如何保护您
Trend Micro SAP扫描器
Trend Micro的SAP扫描器专为检测SAP环境中的漏洞和错误配置而设计。它通过以下方式标记CVE-2025-31324的存在：
- 扫描暴露的上传端点。
- 识别未打补丁的SAP NetWeaver组件。
- 突出显示允许无限制文件上传的不安全配置。
通过集成到您的DevSecOps管道或定期运行扫描，SAP扫描器确保在攻击者利用之前捕获像CVE-2025-31324这样的漏洞。
Trend Vision One™平台
Trend Vision One™平台提供跨端点、服务器、云工作负载和网络的XDR（扩展检测与响应）及网络风险暴露管理。针对CVE-2025-31324，它提供：
- 虚拟补丁：Trend Micro可以应用虚拟补丁来阻止利用尝试，甚至在官方SAP补丁可用之前。
- 通过Deep Security / Server & Workload Protection的IPS规则：
- 规则1012351 - SAP NetWeaver Visual Composer无限制文件上传漏洞（CVE-2025-31324）
- 通过TippingPoint过滤器的IPS规则：
- 过滤器45805 - HTTP：Trojan.Shell.PhanlodLogger.A运行时检测
- 过滤器41642 - HTTP：通用JSP命令执行Webshell负载检测
- 通过Deep Security / Server & Workload Protection的IPS规则：
- 行为检测：Trend Vision One关联可疑活动（如在SAP服务器上的意外文件上传或命令执行）并发出警报。
- 威胁情报集成：实时更新确保与CVE-2025-31324相关的危害指标（IOC）在您的环境中被识别和阻止。
最终思考
CVE-2025-31324是一个鲜明的提醒，表明在像SAP这样的业务关键应用程序中，主动漏洞管理的重要性。借助Trend Micro的SAP扫描器和Trend Vision One平台，组织可以领先于新兴威胁，降低风险暴露，并保持运营弹性。
保持保护。保持知情。有关关键漏洞的更多见解和更新，请关注Trend Micro安全新闻博客。