Data Services Management Console：データベースクエリを保護する

公開 · 更新 · APIと連携サービス · 18 分で読めます · 執筆 Cyber Intelligence Embassy

要点

Data Services Management Console：SQLインジェクション。2026-08-11の事例として、CERTFR-2026-AVI-0998に基づく25件のバージョン記載と42件のCVE、対象バージョン、実行基盤に適した検証を整理します。

AI生成のイメージ：控えめな金色の照明に包まれた暗いサイバーセキュリティ技術室 イラスト · 架空の場面
この記事の内容

2026-08-11を対象とする振り返り記事です。作成日は2026年10月27日です。対象日と、以下に示す出典の公開日・改訂日を区別しています。

この勧告が運用環境に及ぼす意味

出発点は2026-08-11公開のCERTFR-2026-AVI-0998です。対象にはData Services Management Console, Change and Transport System Attach Tool (ctsattach), Business AI Platform (Approuter), Commerce Cloud, ABAP Platform, NetWeaver AS Java (Adobe Document Services), NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard, SAPSPrint Service, Commerce Cloud (Bouncy Castle Java library), S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools), SAPUI5, AP FICA ODN frameworkが含まれ、報告された影響はクロスサイトスクリプティング（XSS）, リモートコード実行, SQLインジェクション, ベンダーへの確認が必要な影響, セキュリティ制御の回避, 機密性の侵害, 権限昇格です。これは勧告全体の範囲に関する記載であり、全ての影響を各製品や各CVEに割り当てるものではありません。

この事例には25件のバージョン記載と42件のCVEがあります。対応はコンポーネントごとに管理します。一括更新の成功だけでは、Data Services Management ConsoleとSocial Intelligenceそれぞれへの修正適用を証明できません。

確認すべき製品とバージョン

出典番号
CERTFR-2026-AVI-0998
出典の初回公開日
2026-08-11
対象日までに公開された最終改訂
2026-08-11
記載されたコンポーネント
Data Services Management Console, Change and Transport System Attach Tool (ctsattach), Business AI Platform (Approuter), Commerce Cloud, ABAP Platform, NetWeaver AS Java (Adobe Document Services), NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard, SAPSPrint Service, Commerce Cloud (Bouncy Castle Java library), S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools), SAPUI5, AP FICA ODN framework, NetWeaver Application Server ABAP and ABAP Platform, BusinessObjects Business Intelligence, Commerce Cloud and Data Hub (Apache Log4j Core), S/4 HANA (Reprocess Bank Statement Items), Advanced Planning and Optimization (Model Mix Planning), Manufacturing Integration and Intelligence, Commerce Cloud (Data Hub Adapter), Commerce Cloud (Search and Navigation), ABAP Developer Tools, NetWeaver Application Server ABAP, BusinessObjects Business Intelligence Platform (Central Management Server), NetWeaver and ABAP Platform, Social Intelligence
CVE識別子
CVE-2026-33871, CVE-2026-66760, CVE-2026-58247, CVE-2026-40130, CVE-2026-66774, CVE-2026-58238, CVE-2026-66772, CVE-2026-44764, CVE-2026-58241, CVE-2026-58248, CVE-2026-66770, CVE-2025-58057, CVE-2025-42947, CVE-2026-58237, CVE-2026-5598, CVE-2026-66779, CVE-2026-34480, CVE-2026-66775, CVE-2026-58243, CVE-2026-66771, CVE-2026-58239, CVE-2026-66773, CVE-2026-44765, CVE-2026-58235 … (+18)
コンポーネント公開条件
Change and Transport System Attach Tool (ctsattach)CTS_UPLOAD_CLT 1 最新のセキュリティ修正が未適用
Business AI Platform (Approuter)<23.0.0 最新のセキュリティ修正が未適用
NetWeaver AS Java (Adobe Document Services)ADSSAP 7.50 最新のセキュリティ修正が未適用

Change and Transport System Attach Tool (ctsattach)の公開条件は「CTS_UPLOAD_CLT 1 最新のセキュリティ修正が未適用」です。実際に読み込まれている版を、その版が属する系統内で条件と比較します。別のData Services Management Consoleエディションを修正しても、この事例の対応完了にはなりません。

仕組みと前提条件

SQLインジェクションはデータと命令の境界を壊します。パラメーター化クエリ、DB権限、ログを確認します。露出の確認に破壊的な入力は不要です。

sapが公開した一次記録CVE-2026-66763の対象はSAP BusinessObjects Business Intelligence Platform (Central Management Server)です。採用した改訂日は2026-08-11です。この範囲は、CERTFR-2026-AVI-0998の統合製品や製品群とは区別して示しています。

CVE-2026-66763の公開評価はCVSS 3.1、7.9/10です。以下のベクトルは技術的な前提条件を表し、攻撃頻度や自環境が侵害される確率を示すものではありません。

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N

攻撃経路
ローカル
必要な事前権限
高
利用者の操作
不要
複雑さ
低
弱点分類
CWE-321

適切な対応を選ぶ

  1. Change and Transport System Attach Tool (ctsattach)のインスタンス、稼働版、責任者を特定し、条件CTS_UPLOAD_CLT 1 最新のセキュリティ修正が未適用をCERTFR-2026-AVI-0998と併せて記録します。
  2. 導入系統をChange and Transport System Attach Tool (ctsattach)のベンダー文書と照合し、その系統向けパッケージと依存サービスの試験を準備します。変更前の状態を保存してください。
  3. Change and Transport System Attach Tool (ctsattach)の変更後、読み込まれた版を再取得し、以下の業務フローを確認します。例外には責任者、露出低減策、期限が必要です。

実際の業務で修正を検証する

Data Services Management Console向けに調整する検証シナリオ：Change and Transport System Attach Tool (ctsattach)のプロセスまたは稼働中カーネルが読み込んだ版を記録し、保守手順に従う場合だけ再起動します。依存する業務と、配布イメージや実行ファイルに埋め込まれたコピーを確認します。 これは防御的な確認方法の提案であり、第三者のシステムで試験済みという意味ではありません。

CERTFR-2026-AVI-0998に関する限界：本分析はベンダーの前提条件や自環境のログ調査を置き換えません。記載する版は文書化されたものに限り、攻撃日や被害者を創作しません。

この事例に固有の質問

Change and Transport System Attach Tool (ctsattach)で確認する条件は何ですか？

CERTFR-2026-AVI-0998の記載はChange and Transport System Attach Tool (ctsattach) — CTS_UPLOAD_CLT 1 最新のセキュリティ修正が未適用です。エディションと稼働版を確認し、未記載の系統に境界を拡張しないでください。

Data Services Management ConsoleとSocial Intelligenceを同じ修正で扱えない理由は？

CERTFR-2026-AVI-0998は25件の記載の中でこれらを区別しています。系統ごとの更新文書と機能試験が必要です。

記録CVE-2026-66763が示す前提条件は？

CVE-2026-66763の公開ベクトルはCVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:Nです。CERTFR-2026-AVI-0998の統合製品に適用する前に、SAP BusinessObjects Business Intelligence Platform (Central Management Server)で各条件を確認します。

出典と関連資料

実践ガイド : 脆弱性の優先順位付けと修復の検証

この事例の対応判断を深める

元の勧告にある全項目

記事の表は抜粋の場合があります。以下は指定版にある影響対象システムの全項目とCVEです。自社資産の一覧ではなく、各CVEがすべての製品に該当するという意味でもありません。

公式情報源 · CERTFR-2026-AVI-0998
勧告の改訂日 : · 確認日 :

影響対象システム · 25

バージョン条件の曖昧な翻訳を避けるため、フランス語原文を保持しています。

  1. Data Services Management Console versions SBOP_DS_MANAGEMENT_CONSOLE 4.3 et 2025 sans le dernier correctif de sécurité
  2. Change and Transport System Attach Tool (ctsattach) version CTS_UPLOAD_CLT 1 sans le dernier correctif de sécurité
  3. Business AI Platform (Approuter) version <23.0.0 sans le dernier correctif de sécurité
  4. Commerce Cloud versions COM_CLOUD 2211, 2211-JDK21, DHUB_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  5. ABAP Platform versions KRNL64UC 7.53, KERNEL 7.53, 7.54 et 7.77 sans le dernier correctif de sécurité
  6. NetWeaver AS Java (Adobe Document Services) version ADSSAP 7.50 sans le dernier correctif de sécurité
  7. NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard versions SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758 et SAP_BASIS 816 sans le dernier correctif de sécurité
  8. SAPSPrint Service versions SAPSPRINT 8.00 et 8.10 sans le dernier correctif de sécurité
  9. Commerce Cloud (Bouncy Castle Java library) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  10. S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools) versions S4CORE 104, 105, 106, 107, 108, 109, ENTERPRISE 430 et 2025 sans le dernier correctif de sécurité
  11. SAPUI5 versions SAP_UI 750, 754, 755, 756, 757, 758, 816 et UI_700 200 sans le dernier correctif de sécurité
  12. AP FICA ODN framework versions SAPSCORE 132, S4CORE 102, 103, 104, 105, 106, 107, 108, FI-CA 606, 616, 617 et 618 sans le dernier correctif de sécurité
  13. NetWeaver Application Server ABAP and ABAP Platform versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, KERNEL 7.22, 7.53, 7.54, 7.77, 7.93 et 9.16 sans le dernier correctif de sécurité
  14. BusinessObjects Business Intelligence versions ENTERPRISE 430, 2025, 2027, ENTERPRISECLIENTTOOLS 430, 2025 et 2027 sans le dernier correctif de sécurité
  15. Commerce Cloud and Data Hub (Apache Log4j Core) versions COM_CLOUD 2211, 2211-JDK21 et DHUB_CLOUD 2211 sans le dernier correctif de sécurité
  16. S/4 HANA (Reprocess Bank Statement Items) versions S4CORE 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
  17. Advanced Planning and Optimization (Model Mix Planning) versions SCMAPO 713, 714, S4CORE 102, 103, 104, S4COREOP 104, 105, 106, 107, 108, 109, SCM 700, 701, 702 et 712 sans le dernier correctif de sécurité
  18. Manufacturing Integration and Intelligence versions XMII 15.4, 15.5, MII_ADMIN 15.4 et 15.5 sans le dernier correctif de sécurité
  19. Commerce Cloud (Data Hub Adapter) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  20. Commerce Cloud (Search and Navigation) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  21. ABAP Developer Tools versions SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918 et SAP_BASIS 920 sans le dernier correctif de sécurité
  22. NetWeaver Application Server ABAP versions SAP_UI 754, 755, 756, 757, 758, 816, EP-FLP 7.50, SAP_BASIS 731 et AJAX-RUNTIME 7.50 sans le dernier correctif de sécurité
  23. BusinessObjects Business Intelligence Platform (Central Management Server) versions SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918, SAP_BASIS 920, ENTERPRISE 430, 2025 et 2027 sans le dernier correctif de sécurité
  24. NetWeaver and ABAP Platform versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.22EXT2, 7.22EXT3, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16 9.18, 9.19, KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18 et 9.19 sans le dernier correctif de sécurité
  25. Social Intelligence versions S4FND 102, 103, 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
CVE識別子 · 42