SAP「10月パッチデー」で脆弱性の修正17件を公開-NetWeaver AS JavaのCVSS 10.0を最優先に（CVE-2025-42944）|セキュリティと脆弱性のニュース-セキュリティ対策Lab

投稿日時: 2025年10月17日更新日時: 2025年10月17日

SAPは現地時間2025年10月14日、月例の「Security Patch Day」で新規13件、既存ノート更新4件の計17件を公開しました。

NetWeaver AS Javaの不安全なデシリアライズ（CVE-2025-42944）

今回もっとも重大なのがCVE-2025-42944です。AS JavaのRMI-P4まわりに起因する不安全なデシリアライズで、細工したシリアライズデータを送り付けられると、ホストOS上で任意コマンドの実行まで繋がり得ます。認証もユーザー操作も不要で成立する可能性があるため、横展開（ワーム的な拡散）の足掛かりにもなり得る設計上の弱点です。

この件に関しては、3660659（Security Hardening）の新規ノートと、3634501（9月ノートのアップデート）が並んで公開されています。現場としては、パッチ適用を最優先にしつつ、適用前の暫定措置としてRMI-P4への到達制御（外部遮断／許可元の限定）を即時にかけておくのが現実的です。

早期パッチ適用推奨：Print ServiceのディレクトリトラバーサルとSRMのアップロード不備

以下２つの脆弱性も早期パッチ適用をおすすめします。

1つめはSAP Print Service（SAPSprint 8.00／8.10）に関するCVE-2025-42937（CVSS 9.8／Critical）。ディレクトリトラバーサルによって、未認証の外部から任意パスへの上書きが起き得ます。印刷サーバーは往々にして権限やネットワーク位置づけが甘くなりがちで、踏み台にされた場合の横展開リスクを念頭に置く必要があります。

もう1つはSAP Supplier Relationship Management（SRMNXP01 100／150）のCVE-2025-42910（CVSS 9.0／Critical）。無制限ファイルアップロードの問題で、ファイル種別や内容の検証が足りず、実行可能ファイルやスクリプトが通ってしまう恐れがあります。調達領域のアプリケーションは外部連携も多いため、アップロードの入口で確実に止めることが肝心です。