SAP ha lanzado una actualización crítica de seguridad para abordar una vulnerabilidad severa (CVE-2025-31324) en NetWeaver Visual Composer. Esta vulnerabilidad, que ha recibido la máxima puntuación de gravedad CVSS de 10.0, está siendo activamente explotada por actores maliciosos para comprometer sistemas empresariales sin necesidad de autenticación.
Análisis Técnico de la Vulnerabilidad
La vulnerabilidad reside específicamente en el componente Metadata Uploader de SAP NetWeaver Visual Composer. Los atacantes pueden explotar la ruta /developmentserver/metadatauploader para cargar archivos maliciosos ejecutables, permitiendo la ejecución remota de código sin requerir credenciales de acceso. Esta característica hace que la vulnerabilidad sea particularmente peligrosa para las infraestructuras empresariales.
Evidencia de Explotación Activa
ReliaQuest ha documentado múltiples incidentes donde atacantes han aprovechado exitosamente esta vulnerabilidad. Los atacantes están implementando web shells JSP en directorios públicos, facilitando la ejecución de comandos arbitrarios mediante simples solicitudes GET. La capacidad de comprometer incluso sistemas actualizados confirma su naturaleza de vulnerabilidad día cero.
Vectores de Ataque y Técnicas Post-Explotación
Los atacantes están empleando un arsenal sofisticado de herramientas post-explotación, incluyendo:
- Despliegue del framework Brute Ratel para operaciones Red Team
- Implementación de la técnica Heaven’s Gate para evadir detección
- Utilización de MSBuild para inyección de código en dllhost.exe
Implicaciones para la Seguridad Empresarial
WatchTowr ha confirmado que los atacantes están estableciendo persistencia en los sistemas comprometidos mediante backdoors. El patrón de los ataques sugiere la participación de brokers de acceso inicial, quienes posteriormente comercializan el acceso a los sistemas comprometidos en el mercado negro.
Se recomienda encarecidamente a todas las organizaciones que utilicen SAP NetWeaver implementar inmediatamente los parches de seguridad disponibles. Es crucial realizar una auditoría exhaustiva de los sistemas para detectar posibles compromisos, prestando especial atención a archivos sospechosos en directorios públicos y actividades no autorizadas en los registros del sistema. La implementación de monitoreo continuo y controles de seguridad adicionales puede ayudar a mitigar el riesgo de explotación.
