sap corrige une seconde vulnérabilité zero-day exploitée lors d’attaques récentes

L’éditeur de logiciels d’entreprise SAP vient de déployer en urgence des correctifs pour remédier à une seconde vulnérabilité zero-day (CVE-2025-42999) découverte dans son composant NetWeaver. Cette faille, identifiée lors de l’enquête sur des attaques exploitant déjà une première vulnérabilité corrigée en avril (CVE-2025-31324), suscite de vives inquiétudes dans le secteur de la cybersécurité. Les experts révèlent que ces deux vulnérabilités sont exploitées conjointement depuis janvier 2025 par des acteurs malveillants, permettant l’exécution de code à distance sur des systèmes critiques sans authentification préalable. Avec plus de 2040 serveurs SAP NetWeaver exposés sur internet et potentiellement vulnérables, dont certains appartenant à des entreprises du Fortune 500, l’ampleur de cette menace pourrait avoir des répercussions majeures sur la sécurité des infrastructures informatiques d’entreprises à l’échelle mondiale.

Analyse technique des vulnérabilités zero-day ciblant SAP NetWeaver

La récente découverte d’une seconde vulnérabilité zero-day dans SAP NetWeaver (CVE-2025-42999) complète un tableau préoccupant entamé avec l’identification de CVE-2025-31324 en avril. Ces deux failles, exploitées conjointement, représentent une menace significative pour les infrastructures d’entreprise utilisant ces solutions. L’analyse technique révèle que la première vulnérabilité permettait un téléversement de fichiers non authentifié dans le composant Visual Composer, tandis que la seconde implique une désérialisation non sécurisée dans le même composant.

Selon Juan Pablo Perez-Etchegoyen, CTO d’Onapsis, l’exploitation combinée de ces deux vulnérabilités permet aux attaquants « d’exécuter des commandes arbitraires à distance sans aucun type de privilèges sur le système ». Cette combinaison particulièrement dangereuse a été observée dans des attaques ayant débuté dès janvier 2025, avec des tentatives préliminaires qui se sont intensifiées en mars. Cette timeline démontre que les acteurs malveillants ont eu plusieurs mois pour perfectionner leurs techniques d’attaque avant que les correctifs ne soient disponibles.

L’exploitation de ces vulnérabilités suit généralement un schéma bien défini. Les attaquants utilisent d’abord CVE-2025-31324 pour contourner l’authentification et téléverser des fichiers malveillants, puis exploitent CVE-2025-42999 pour permettre l’exécution de code arbitraire. Cette chaîne d’attaque a permis l’installation de backdoors persistantes sous forme de web shells JSP dans des répertoires publics accessibles, offrant ainsi un accès continu aux systèmes compromis.

La société ReliaQuest a été parmi les premières à détecter ces attaques, observant non seulement l’installation de web shells mais également le déploiement de l’outil Brute Ratel, un cadriciel habituellement utilisé pour les tests d’intrusion légitimes. Ce détournement d’outils défensifs à des fins offensives illustre la sophistication des attaquants derrière ces campagnes.

• CVE-2025-31324 : Vulnérabilité d’upload de fichiers non authentifié dans SAP NetWeaver Visual Composer
• CVE-2025-42999 : Vulnérabilité de désérialisation non sécurisée dans le même composant
• Vecteurs d’attaque : Téléversement de web shells JSP et déploiement d’outils comme Brute Ratel
• Impact potentiel : Exécution de code à distance, persistance sur les systèmes compromis
• Période d’exploitation active : De janvier à mai 2025, avant la publication des correctifs

Les équipes de sécurité doivent être particulièrement attentives aux indicateurs de compromission associés à ces attaques. Parmi ceux-ci figurent la présence de fichiers JSP inhabituels dans les répertoires publics des serveurs SAP, des connexions réseau sortantes vers des serveurs de commande et contrôle inconnus, et l’activité anormale des utilisateurs sur les systèmes SAP, en particulier ceux disposant du rôle VisualComposerUser.

La comparaison avec d’autres vulnérabilités récemment découvertes dans des produits d’entreprise comme celle d’Ivanti montre des similitudes troublantes dans les techniques d’exploitation, suggérant potentiellement des acteurs communs ou du moins un partage de connaissances entre différents groupes d’attaquants.

Identification des acteurs malveillants derrière les attaques

Des analyses approfondies menées par plusieurs entreprises de cybersécurité ont permis d’attribuer au moins une partie de ces attaques à des acteurs spécifiques. Forescout’s Vedere Labs a établi un lien entre certaines des attaques exploitant ces vulnérabilités de SAP et un groupe d’acteurs malveillants d’origine chinoise identifié sous le nom de Chaya_004. Ce groupe n’est pas inconnu des experts en sécurité et serait impliqué dans diverses campagnes d’espionnage industriel et de vol de propriété intellectuelle ciblant principalement des organisations occidentales.

L’attribution à Chaya_004 repose sur plusieurs éléments techniques, notamment les similarités dans les outils utilisés, les infrastructures de commande et contrôle, ainsi que les patterns d’attaque observés. Ces indicateurs correspondent à ceux précédemment associés à ce groupe dans d’autres campagnes malveillantes. Bien que Microsoft et Kaspersky n’aient pas encore officiellement confirmé cette attribution, leurs analyses préliminaires pointent également vers un acteur étatique ou parrainé par un État.

La sophistication des attaques suggère qu’il s’agit d’une opération planifiée de longue date et non d’opportunistes cherchant à exploiter rapidement des vulnérabilités nouvellement découvertes. Le fait que les attaques aient commencé dès janvier 2025, alors que les vulnérabilités n’étaient pas encore publiquement connues, indique que les attaquants disposaient soit d’informations privilégiées, soit de capacités avancées de découverte de vulnérabilités.

• Attribution principale : Groupe Chaya_004, d’origine chinoise selon Forescout
• Objectifs potentiels : Espionnage industriel, vol de données sensibles
• Sophistication : Élevée, avec utilisation d’outils avancés
• Secteurs ciblés : Principalement l’industrie, la finance et les infrastructures critiques
• Tendance observée : Utilisation croissante de vulnérabilités zero-day dans les applications d’entreprise

Comparativement, Cisco et Trend Micro ont observé des schémas d’attaque similaires ciblant d’autres plateformes d’applications d’entreprise comme Oracle et IBM. Cette tendance plus large suggère une campagne coordonnée visant à compromettre les infrastructures critiques d’organisations occidentales à travers différents vecteurs d’attaque. D’autres groupes, notamment d’origine nord-coréenne et russe, ont également été observés tentant d’exploiter ces vulnérabilités après leur divulgation initiale, dans un phénomène classique de réutilisation des techniques d’attaque.

Le CISA (Cybersecurity and Infrastructure Security Agency) américain a ajouté CVE-2025-31324 à son catalogue des vulnérabilités activement exploitées, ordonnant aux agences fédérales de sécuriser leurs systèmes avant le 20 mai, conformément à la directive opérationnelle contraignante (BOD) 22-01. Cette mesure souligne la gravité de la menace et l’urgence d’appliquer les correctifs disponibles, même pour des infrastructures critiques hautement sécurisées.

Impact global et ampleur des systèmes compromis

L’ampleur des attaques exploitant les vulnérabilités de SAP NetWeaver est considérable et continue de s’étendre. Selon les dernières données de la Shadowserver Foundation, plus de 2040 serveurs SAP NetWeaver sont actuellement exposés sur Internet et vulnérables à ces attaques. Ce chiffre représente une augmentation significative par rapport aux 1284 instances identifiées fin avril par Patrice Auffret, CTO d’Onyphe, ce qui suggère que le problème prend de l’ampleur malgré les alertes de sécurité.

Les implications sont particulièrement graves pour les grandes entreprises. Patrice Auffret a révélé qu' »environ 20 entreprises du Fortune 500/Global 500 sont vulnérables, et beaucoup d’entre elles sont déjà compromises ». Cette affirmation alarmante met en lumière l’impact potentiel sur l’économie mondiale, étant donné que ces organisations représentent collectivement des trillions de dollars en capitalisation boursière et emploient des millions de personnes à travers le monde.

Les données de la Shadowserver Foundation montrent également une répartition géographique inégale des serveurs vulnérables, avec une concentration particulière en Europe, en Amérique du Nord et en Asie de l’Est. Cette distribution correspond largement aux régions où SAP possède une forte pénétration du marché des logiciels d’entreprise, ce qui n’est pas surprenant. Toutefois, elle souligne également les disparités dans la capacité à appliquer rapidement des correctifs de sécurité critiques.

• Serveurs exposés : Plus de 2040 instances SAP NetWeaver vulnérables accessibles depuis Internet
• Organisations touchées : Environ 20 entreprises du Fortune 500/Global 500 vulnérables
• Taux de compromission : Environ 474 serveurs déjà compromis selon les premières estimations
• Secteurs les plus touchés : Industrie manufacturière, services financiers, santé et énergie
• Régions principalement affectées : Europe, Amérique du Nord, Asie de l’Est

L’impact de ces compromissions va bien au-delà de la simple violation de sécurité. Les systèmes SAP gèrent généralement des processus métier critiques tels que la finance, les ressources humaines, la gestion de la chaîne d’approvisionnement et la production. Une compromission peut donc entraîner des perturbations opérationnelles majeures, des fuites de données sensibles, des violations réglementaires et des pertes financières substantielles. À titre de comparaison, les attaques exploitant des vulnérabilités similaires dans d’autres plateformes d’entreprise comme Adobe ColdFusion ont entraîné des pertes estimées à plusieurs millions de dollars par incident.

Des analyses menées par Fortinet et Palo Alto Networks indiquent que les attaquants maintiennent généralement leur présence dans les systèmes compromis pendant plusieurs semaines, voire plusieurs mois, avant d’être détectés. Durant cette période, ils peuvent exfiltrer des données sensibles, compromettre d’autres systèmes sur le réseau interne, ou simplement maintenir un accès persistant en vue d’une exploitation future. Cette persistance complique considérablement les efforts de remédiation et augmente l’impact potentiel des attaques.

Conséquences économiques et opérationnelles pour les entreprises touchées

Les implications économiques des attaques exploitant les vulnérabilités SAP sont considérables et multidimensionnelles. Pour les organisations touchées, les coûts directs comprennent les dépenses liées à la réponse aux incidents, aux enquêtes forensiques, à la remédiation des systèmes compromis et aux potentielles pertes de données ou interruptions d’activité. Selon des estimations de cabinets spécialisés comme Ponemon Institute, le coût moyen d’une violation de données dans un environnement d’entreprise comme SAP peut dépasser 4,5 millions de dollars par incident en 2025.

Au-delà de ces coûts immédiats, les entreprises font face à des conséquences à plus long terme. Les violations de conformité réglementaire, notamment avec des réglementations comme le RGPD en Europe, peuvent entraîner des amendes substantielles pouvant atteindre jusqu’à 4% du chiffre d’affaires mondial. Pour les entreprises du Fortune 500, cela représente potentiellement des centaines de millions, voire des milliards de dollars. De plus, l’impact sur la réputation peut affecter durablement la confiance des clients et des partenaires commerciaux.

Les secteurs particulièrement dépendants des systèmes SAP, comme l’industrie manufacturière, les services financiers et la santé, subissent des impacts opérationnels spécifiques. La compromission des systèmes de gestion de la chaîne d’approvisionnement peut entraîner des perturbations dans la production et la distribution, avec des effets en cascade sur l’ensemble de l’écosystème commercial. Dans le secteur financier, les violations peuvent compromettre l’intégrité des transactions et des données financières, tandis que dans le secteur de la santé, elles peuvent affecter la qualité des soins et la confidentialité des données patients.

• Coûts directs moyens : 4,5 millions de dollars par incident majeur de compromission
• Amendes réglementaires potentielles : Jusqu’à 4% du chiffre d’affaires mondial (RGPD)
• Durée moyenne de remédiation : 45 à 60 jours pour une compromission complète
• Impact sur la valorisation boursière : Baisse moyenne de 3,5% sur 30 jours après annonce publique
• Interruptions d’activité estimées : 2 à 5 jours pour les processus critiques dans les cas sévères

Les analystes de Symantec ont observé que les entreprises qui détectent et répondent rapidement aux incidents peuvent réduire considérablement les coûts associés d’environ 45%. Cependant, la nature des vulnérabilités SAP, qui ont été exploitées pendant plusieurs mois avant leur découverte, suggère que de nombreuses organisations pourraient avoir subi des compromissions prolongées, augmentant ainsi l’ampleur potentielle des dommages.

Un phénomène particulièrement préoccupant est l’effet d’entraînement sur les chaînes d’approvisionnement numériques. Les systèmes SAP sont souvent interconnectés avec ceux des fournisseurs, partenaires et clients, créant ainsi des voies de propagation potentielles pour les attaquants. Des recherches récentes de Turnkey Consulting indiquent que les vulnérabilités dans les environnements SAP figurent parmi les vecteurs d’attaque les plus fréquemment exploités dans les incidents de compromission de la chaîne d’approvisionnement, un phénomène qui s’intensifie au cours des dernières années.

Pour les petites et moyennes entreprises qui dépendent également de SAP mais disposent de ressources de sécurité plus limitées, l’impact peut être encore plus dévastateur. Des études montrent qu’environ 60% des PME qui subissent une cyberattaque majeure cessent leurs activités dans les six mois suivant l’incident, soulignant l’importance critique d’appliquer rapidement les correctifs de sécurité disponibles, quelle que soit la taille de l’organisation.

Mesures de remédiation et recommandations de sécurité

Face à cette menace critique, SAP a publié des recommandations détaillées pour sécuriser les systèmes NetWeaver potentiellement vulnérables. La priorité absolue est l’application immédiate des correctifs disponibles pour les deux vulnérabilités. La note de sécurité 3594142 corrige CVE-2025-31324, tandis que la note 3604119 adresse CVE-2025-42999. Ces correctifs doivent être appliqués sans délai, même dans des environnements où les cycles de test sont habituellement longs, en raison de l’exploitation active de ces vulnérabilités.

Au-delà de l’application des correctifs, SAP recommande plusieurs mesures de mitigation supplémentaires. La première consiste à désactiver temporairement le service Visual Composer si celui-ci n’est pas essentiel aux opérations commerciales. Cette mesure drastique peut interrompre certaines fonctionnalités, mais elle élimine complètement le vecteur d’attaque dans les environnements où le service peut être désactivé sans impact critique sur les processus métier.

Pour les organisations qui ne peuvent pas désactiver Visual Composer ou qui soupçonnent que leurs systèmes ont déjà été compromis, une investigation forensique approfondie est recommandée. Les signes de compromission incluent la présence de fichiers JSP non autorisés dans les répertoires publics, des modifications non documentées des configurations système, et des connexions réseau sortantes vers des domaines inconnus. Des outils spécialisés comme SAP Enterprise Threat Detection peuvent faciliter cette détection.

• Application immédiate des correctifs : Notes de sécurité SAP 3594142 et 3604119
• Désactivation temporaire : Service Visual Composer si non-essentiel aux opérations
• Restrictions d’accès réseau : Limitation de l’exposition externe des instances SAP
• Surveillance renforcée : Détection des indicateurs de compromission
• Évaluation forensique : Pour les systèmes potentiellement compromis
• Réinitialisation des identifiants : Changement des mots de passe et révocation des jetons d’accès

Les experts en sécurité recommandent également d’adopter une approche défensive en profondeur, en implémentant plusieurs couches de protection. La segmentation réseau est particulièrement importante : les systèmes SAP ne devraient être accessibles depuis Internet que si absolument nécessaire, et uniquement via des connexions sécurisées et des proxys applicatifs. L’utilisation de solutions comme Web Application Firewalls (WAF) configurés spécifiquement pour protéger les applications SAP peut offrir une couche de protection supplémentaire, même pour les systèmes non encore patchés.

Pour les organisations qui suspectent une compromission, un plan de réponse aux incidents rigoureux est essentiel. Ce plan devrait inclure l’isolation des systèmes affectés, la préservation des preuves pour analyse forensique, l’identification de l’étendue de la compromission, et la restauration sécurisée des services. Des entreprises comme IBM proposent des services spécialisés de réponse aux incidents pour les environnements SAP, qui peuvent être mobilisés rapidement en cas de besoin.

Stratégies proactives pour la sécurisation des environnements SAP

Au-delà des mesures réactives nécessaires pour répondre à la menace immédiate, les organisations doivent adopter des stratégies proactives pour renforcer durablement la sécurité de leurs environnements SAP. Une approche systématique de gestion des vulnérabilités constitue la pierre angulaire de cette stratégie. Les entreprises devraient mettre en place un processus formalisé pour surveiller les bulletins de sécurité SAP, évaluer la pertinence des vulnérabilités pour leur environnement spécifique, et déployer les correctifs selon un calendrier priorisé en fonction des risques.

La surveillance continue des environnements SAP représente un autre pilier essentiel d’une stratégie de sécurité robuste. Des outils comme SAP Enterprise Threat Detection (ETD) ou des solutions tierces comme celles proposées par Symantec et Palo Alto Networks peuvent identifier les comportements anormaux et les signes d’intrusion en temps réel. Ces outils devraient être intégrés aux centres opérationnels de sécurité (SOC) existants pour assurer une visibilité complète sur l’environnement informatique.

Le principe du moindre privilège devrait être rigoureusement appliqué dans les environnements SAP. Une revue complète des droits d’accès, y compris les rôles techniques comme VisualComposerUser mentionné dans l’exploitation de CVE-2025-42999, peut aider à réduire significativement la surface d’attaque. Les accès privilégiés devraient être strictement limités, surveillés et soumis à des processus d’approbation formels. L’utilisation de solutions de gestion des accès privilégiés (PAM) peut faciliter cette tâche tout en améliorant la traçabilité.

• Gestion proactive des vulnérabilités : Processus formalisé de surveillance et d’application des correctifs
• Surveillance continue : Implémentation d’outils de détection des menaces spécifiques à SAP
• Gestion des accès privilégiés : Application du principe du moindre privilège
• Tests de pénétration réguliers : Évaluation périodique de la sécurité des environnements SAP
• Formation et sensibilisation : Programmes dédiés pour les équipes techniques et les utilisateurs
• Plan de continuité d’activité : Procédures de reprise en cas d’incident majeur