CVE-2025-42950 — 神龙十问 AI 深度分析摘要
CVSS 9.9 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：SAP Landscape Transformation (SLT) 存在 **代码注入漏洞**。黑客可通过 **RFC** 接口注入任意 **ABAP 代码**。后果严重，可能导致系统被完全控制。
Q2根本原因？（CWE/缺陷点）
🔍 **根本原因**：**CWE-94**（代码注入）。缺陷点在于 **RFC 调用机制** 未正确过滤或验证输入，允许攻击者执行非预期的 **ABAP 代码**。
Q3影响谁？（版本/组件）
🛡️ **影响对象**：**SAP Landscape Transformation (Analysis Platform)**。由 **SAP_SE** 开发。具体受影响版本需参考官方补丁说明，但核心组件 SLT 均受波及。
Q4黑客能干啥？（权限/数据）
💡 **黑客能力**：由于注入的是 **ABAP 代码**，攻击者可执行任意命令。权限提升至高危，可窃取 **敏感数据**、篡改系统配置，甚至完全接管服务器。
Q5利用门槛高吗？（认证/配置）
🔑 **利用门槛**：**中等**。CVSS 显示 **PR:L**（需要低权限认证）。攻击者需拥有合法的 **RFC 访问凭证**，但无需用户交互 (UI:N)，且网络可达 (AV:N)。
Q6有现成Exp吗？（PoC/在野利用）
📦 **现成Exp**：当前数据中 **PoC 列表为空**。暂无公开在野利用报告。但鉴于漏洞原理简单（代码注入），Exp 编写难度较低，需警惕黑产快速跟进。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：检查系统中是否部署了 **SAP Landscape Transformation**。重点审计 **RFC 接口** 的调用日志，查找异常的 **ABAP 代码执行** 或未经授权的远程调用。
Q8官方修了吗？（补丁/缓解）
🛠️ **官方修复**：**已发布**。SAP 官方提供了修复补丁。参考链接：**SAP Note 3633838** 及 **SAP Security Patch Day** 页面。请立即检查并应用最新补丁。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：若无法立即打补丁，建议 **限制 RFC 访问** 的网络范围（仅允许信任IP）。**禁用** 不必要的 RFC 服务，或实施严格的 **输入过滤** 策略（虽非根本解决，但可降低风险）。
Q10急不急？（优先级建议）
🚀 **优先级**：**极高**。CVSS 评分高，且涉及核心数据迁移工具。一旦利用可导致 **C:H/I:H/A:H**（机密性/完整性/可用性全部高危）。建议 **立即** 评估并修复。