1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. 情報セキュリティ
  4. SAP 2025年12月セキュリティパッチを公開-Solution Managerなど3件のクリティカルな脆弱性に注意(CVE-2025-42880,CVE-2025-55754 / CVE-2025-55752,CVE-2025-42928)

SAP 2025年12月セキュリティパッチを公開-Solution Managerなど3件のクリティカルな脆弱性に注意(CVE-2025-42880,CVE-2025-55754 / CVE-2025-55752,CVE-2025-42928)

セキュリティニュース

投稿日時: 更新日時:

SAP 2025年12月セキュリティパッチ-Solution Managerなど3件のクリティカルな脆弱性に注意(CVE-2025-42880,CVE-2025-55754 / CVE-2025-55752,CVE-2025-42928)

SAPは2025年12月9日（現地時間）に最新のセキュリティパッチを公開し、新規セキュリティノート14件をリリースしました。うち3件が「Critical（緊急）」、4件が「High（高）」と格付けされており、いずれも基幹系システムの停止や情報漏えいにつながる可能性があります。

危険度の高い脆弱性について

Criticalとして扱われているのは以下の3件です。

  • CVE-2025-42880：SAP Solution Managerのコードインジェクション（SAP Note 3685270）

  • CVE-2025-55754 / CVE-2025-55752：SAP Commerce Cloud内のApache Tomcat複数脆弱性（SAP Note 3683579）

  • CVE-2025-42928：SAP jConnect – SDK for ASEのデシリアライズ脆弱性（SAP Note 3685286）

以下では、これらクリティカル3件と、あわせて押さえておきたいHigh優先度ノートを整理します。

CVE-2025-42880：SAP Solution Managerのコードインジェクション（Note 3685270）

SAP Solution Manager（SolMan）のST 720に、CVSSスコア9.9のコードインジェクション脆弱性が報告されています。

SolManには、他システムと連携するための「リモート有効ファンクションモジュール」が多数存在しますが、その一部で入力検証が不十分な箇所が見つかりました。Onapsisの分析では、認証済みユーザーが細工したパラメータを渡すことで任意コードを実行でき、システム全体を完全に乗っ取れる可能性があるとされています。

SolManは、SAP全体の監視・ジョブ管理・変更管理などを一手に担う「ハブ」のような存在です。このSolManが侵害されると、以下のような連鎖的な影響が考えられます。

  • 監視設定やアラートの改ざんにより、他システムへの攻撃の痕跡を隠蔽される

  • 接続されている他のSAPシステムへのアクセス情報が盗まれ、横展開される

  • ジョブスケジューラやChaRM（Change Request Management）を悪用され、業務バッチの停止やマルウェア配布に利用される

SolManをお使いの環境では最優先でSAP Note 3685270を確認し、パッチ適用の計画を立てることをおすすめします。

CVE-2025-55754 / 55752：SAP Commerce Cloud内のApache Tomcat脆弱性（Note 3683579）

Commerce Cloudに含まれるApache Tomcatのバージョンに、複数の重大な脆弱性が残っていたことが判明し、SAP Note 3683579で修正されています。対象は以下のバージョンです。

  • HY_COM 2205

  • COM_CLOUD 2211

  • COM_CLOUD 2211-JDK21

これらはCVE-2025-55754およびCVE-2025-55752として公開されており、細工されたHTTPリクエストを送り込むことで、アプリケーションの機密データの窃取やサービス停止、ひいてはリモートコード実行につながるリスクが指摘されています。

TomcatはWebアプリケーションの土台そのものですので、脆弱なバージョンを使い続けると、たとえアプリケーション側で対策していても下支えするコンテナ側から破られてしまいます。特にCommerce Cloudは売上に直結するシステムであるため、停止するとビジネスインパクトも大きくなります。

SAPからは、Tomcatの修正版を含むパッチの適用が案内されています。運用中のストアフロントへの影響を考慮しつつ、テスト環境での検証を挟んだうえで早期に適用すべき内容です。

CVE-2025-42928：SAP jConnect – SDK for ASEのデシリアライズ脆弱性（Note 3685286）

3つ目のクリティカルは、Sybase ASE向け開発キットである SAP jConnect – SDK for ASE におけるデシリアライズ脆弱性です。対象バージョンは16.0.4および16.1で、CVSSは9.1と評価されています。

jConnectはJavaアプリケーションからASEに接続するためのドライバで、オブジェクトのシリアライズ／デシリアライズ処理を内部で行います。この処理に不備があり、細工された入力を渡されると、攻撃者が任意のコードを実行できる状態になることが判明しました。

Exploitには高い権限が必要とされていますが、もしアプリケーションサーバ側のアカウント侵害などと組み合わされると、以下のような影響が考えられます。

  • データベース上の重要データの改ざん・削除

  • アプリケーションサーバ上での追加マルウェアの設置

  • 他システムへのラテラルムーブメント（横移動）の足掛かり

jConnectはアプリケーション内部で利用されていることが多く、存在自体が意識されにくいコンポーネントです。まずは資産管理の観点から、どのシステムで該当バージョンを使っているかを棚卸しし、開発チームも巻き込んでアップグレードの計画を立てることが重要です。

High優先度ノート：Web Dispatcher／S/4HANAなどの高リスク修正

Critical以外にも、「High」優先度のノートが4件公開されています。いずれもインターネットに面したコンポーネントや財務系の重要機能が対象であり、内容によってはCriticalに近い扱いが必要です。

CVE-2025-42878：Web Dispatcher／ICMの機密データ露出（Note 3684682）

SAP Web DispatcherおよびInternet Communication Manager（ICM）において、本来はテスト用途のインターフェースが有効化されていると、診断情報などに不正アクセスされる可能性があると報告されています。CVSSは8.2です。

これらのインターフェースは、ログやコンフィグ情報、HTTPリクエストの内容など、攻撃者にとって有用な情報を含むケースがあります。情報収集フェーズで利用されると、後続の攻撃精度が一気に高まる可能性があります。

CVE-2025-42874：SAP NetWeaver（Xcelsiusリモートサービス）のDoS（Note 3640185）

BIコンポーネント（Xcelsius向けリモートサービス）における入力処理の不備により、細工されたリクエストでサービスを落とせるDoS脆弱性が修正されています（CVSS 7.9）。

ダッシュボードや帳票表示の基盤が止まると、意思決定に必要な情報が見られなくなり、業務継続に支障が出る可能性があります。

CVE-2025-48976：SAP BusinessObjectsのDoS（Note 3650226）

BusinessObjects Enterprise 4.3/2025/2027に、サービス停止につながるDoS脆弱性が報告されています（CVSS 7.5）。

BI基盤が攻撃で落とされると、社内のレポーティングや分析機能が広範囲に影響を受けます。外部公開しているポータルから叩かれる構成の場合は、インターネット側からの攻撃も想定する必要があります。

CVE-2025-42877：Web Dispatcher／ICM／Content Serverのメモリ破損（Note 3677544）

Web Dispatcher、ICM、コンテンツサーバに共通するメモリ破損の問題で、CVSSは7.5です。

現時点では詳細な悪用シナリオは公表されていませんが、メモリ破損はDoSだけでなく、実装次第でコード実行につながることもあります。インターネット公開しているWeb Dispatcherが多い点を踏まえると、優先度は高めに見積もるべきと考えます。

CVE-2025-42876：S/4HANA Private Cloud（総勘定元帳）の認可不備（Note 3672151）

S/4HANA Private Cloud版の財務・総勘定元帳モジュールで、権限チェックの抜けがあり、想定外のユーザーが機密な会計情報にアクセスできてしまう可能性が指摘されています（CVSS 7.1）。

財務データは内部不正とも親和性が高いため、外部攻撃者だけでなく社内ユーザーを含めた権限設計の見直しが必要です。

なぜ今回のパッチが重要か：過去のSAPゼロデイ悪用事例

2025年は、SAP製品を狙ったゼロデイ攻撃がいくつも報告されました。

  • 4月には、Visual Composer（NetWeaver AS Java）のゼロデイ脆弱性 CVE-2025-31324 が、実際の攻撃で悪用されていたことがOnapsisから報告されています。

  • 11月のパッチデーでは、SQL Anywhere MonitorのRCE（CVE-2025-42890、CVSS 10.0）が修正され、こちらも重大なリスクとして各社が注意喚起しています。

一度ゼロデイが出ると、その後しばらくの間は同じ製品・同じコンポーネントを狙うスキャンが継続するのが通例です。今回のSolManやCommerce Cloud、jConnectといったコンポーネントも、攻撃者から見れば「次の一手」として十分魅力的なターゲットになります。

関連記事

SAP、11月の月例パッチで緊急2件を含む20件を修正-(CVE-2025-4289,CVE-2025-42887)SAP、11月の月例パッチで緊急2件を含む20件を修正-(CVE-2025-4289,CVE-2025-42887) SAP S4HANAに要即時対応推奨の致命的な脆弱性(CVE-2025-42957)SAP S/4HANAに要即時対応推奨の致命的な脆弱性(CVE-2025-42957) Apache Tomcat、URL書き換え回避など3件の脆弱性を修正-CVE-2025-55752は条件次第でRCEの恐れApache Tomcat、URL書き換え回避など3件の脆弱性を修正-CVE-2025-55752は条件次第でRCEの恐れ SAP、ゼロデイ攻撃で悪用された脆弱性を修正（CVE-2025-42999）SAP、ゼロデイ攻撃で悪用された脆弱性を修正（CVE-2025-42999） Adobe CommerceとMagentoに重大な脆弱性-早急なパッチ適用を推奨Adobe CommerceとMagentoに重大な脆弱性-早急なパッチ適用を推奨 Default ThumbnailSAP Financial Consolidationの緊急度の高い脆弱性を修正（CVE-2024-37177、CVE-2024-34688） Auth0-PHP SDKに深刻な脆弱性 〜セッションハイジャックの恐れ'CVE-2025-47275)Auth0-PHP SDKに深刻な脆弱性 、セッションハイジャックの恐れ(CVE-2025-47275) SAP「10月パッチデー」で脆弱性の修正17件を公開-NetWeaver AS JavaのCVSS 10.0を最優先に（CVE-2025-42944）SAP「10月パッチデー」で脆弱性の修正17件を公開-NetWeaver AS JavaのCVSS 10.0を最優先に（CVE-2025-42944） SAP NetWeaverのゼロデイ脆弱性（CVE-2025-31324）が悪用、CISAがKEVデータベースに追加SAP NetWeaverのゼロデイ脆弱性（CVE-2025-31324）が悪用、CISAがKEVデータベースに追加