漏洞通告 | SAP NetWeaver Visual Composer Development Server 远程代码执行漏洞

SAP NetWeaver Visual Composer 是SAP NetWeaver平台中的一个图形化建模环境，用于快速开发和部署复合应用程序。

微步情报局获取到SAP NetWeaver Visual Composer反序列化漏洞情报（CVE-2025-31324、CNNVD-202504-3657）。该漏洞由于SAP NetWeaver Visual Composer元数据上传器未配置适当的授权保护，导致未经身份验证的攻击者可上传恶意的二进制数据，从而导致任意代码执行。

目前微步情报局已捕获到关于该漏洞的在野利用行为，该漏洞利用方式简单且具备规模化利用的条件，建议受影响用户尽快修复。

综合处置优先级：高

官方修复方案：

SAP官方已发布修复版本，请尽快更新至不受影响版本：

https://support.sap.com/en/my-support/knowledge-base/security-notes-news/april-2025.html

临时修复方案：

限制/developmentserver/metadatauploader接口的访问权限只允许可信IP访问，或使用防护类设备对/developmentserver/metadatauploader的可疑请求进行拦截。

• 微步威胁感知平台TDP 已支持检测，TDP检测id：S3100160040、S3100160054，模型/规则高于20250429000000可检出。

• 微步威胁防御系统OneSIG已支持防护，规则id：3100160039、3100160037、3100160040。