Data Services Management Console: 데이터베이스 쿼리 보호

게시 · 업데이트 · API와 서비스 연동 · 17 분 읽기 · 작성 Cyber Intelligence Embassy

핵심 요약

Data Services Management Console: SQL 삽입. 2026-08-11 사례로서 CERTFR-2026-AVI-0998을 바탕으로 버전 항목 25개와 CVE 42개, 문서에 명시된 버전과 실행 플랫폼 관련 검증을 다룹니다.

AI 생성 삽화: 차분한 금빛 조명의 어두운 사이버보안 기술 공간 일러스트 · 가상의 장면
이 글의 목차

2026-08-11을 다루는 회고 기사로, 2026년 10월 27일 작성되었습니다. 날짜는 분석 대상일을 뜻하며, 출처의 최초 공개일과 개정일은 아래에 구분했습니다.

권고문이 실제 환경에 미치는 의미

출발점은 2026-08-11 공개된 CERTFR-2026-AVI-0998입니다. 범위에는 Data Services Management Console, Change and Transport System Attach Tool (ctsattach), Business AI Platform (Approuter), Commerce Cloud, ABAP Platform, NetWeaver AS Java (Adobe Document Services), NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard, SAPSPrint Service, Commerce Cloud (Bouncy Castle Java library), S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools), SAPUI5, AP FICA ODN framework이 포함되며, 명시된 영향은 크로스 사이트 스크립팅 XSS, 원격 코드 실행, SQL 삽입, 공급업체의 설명이 필요한 영향, 보안 통제 우회, 기밀성 침해, 권한 상승입니다. 권고문 전체 범위에 관한 설명으로, 모든 영향을 각 제품이나 CVE에 일괄 적용하지 않습니다.

이 사례에는 버전 항목 25개와 CVE 42개가 있습니다. 구성요소별로 수정을 추적해야 하며, 전체 업데이트 성공이 Data Services Management Console와 Social Intelligence 각각의 수정 적용을 입증하지는 않습니다.

검토할 제품과 버전

참조 번호
CERTFR-2026-AVI-0998
출처 최초 공개일
2026-08-11
해당 날짜까지 공개된 최종 개정
2026-08-11
명시된 구성요소
Data Services Management Console, Change and Transport System Attach Tool (ctsattach), Business AI Platform (Approuter), Commerce Cloud, ABAP Platform, NetWeaver AS Java (Adobe Document Services), NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard, SAPSPrint Service, Commerce Cloud (Bouncy Castle Java library), S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools), SAPUI5, AP FICA ODN framework, NetWeaver Application Server ABAP and ABAP Platform, BusinessObjects Business Intelligence, Commerce Cloud and Data Hub (Apache Log4j Core), S/4 HANA (Reprocess Bank Statement Items), Advanced Planning and Optimization (Model Mix Planning), Manufacturing Integration and Intelligence, Commerce Cloud (Data Hub Adapter), Commerce Cloud (Search and Navigation), ABAP Developer Tools, NetWeaver Application Server ABAP, BusinessObjects Business Intelligence Platform (Central Management Server), NetWeaver and ABAP Platform, Social Intelligence
CVE 식별자
CVE-2026-33871, CVE-2026-66760, CVE-2026-58247, CVE-2026-40130, CVE-2026-66774, CVE-2026-58238, CVE-2026-66772, CVE-2026-44764, CVE-2026-58241, CVE-2026-58248, CVE-2026-66770, CVE-2025-58057, CVE-2025-42947, CVE-2026-58237, CVE-2026-5598, CVE-2026-66779, CVE-2026-34480, CVE-2026-66775, CVE-2026-58243, CVE-2026-66771, CVE-2026-58239, CVE-2026-66773, CVE-2026-44765, CVE-2026-58235 … (+18)
구성요소공개 조건
Change and Transport System Attach Tool (ctsattach)CTS_UPLOAD_CLT 1 최신 보안 업데이트 미적용
Business AI Platform (Approuter)<23.0.0 최신 보안 업데이트 미적용
NetWeaver AS Java (Adobe Document Services)ADSSAP 7.50 최신 보안 업데이트 미적용

Change and Transport System Attach Tool (ctsattach)의 공개 조건은 ‘CTS_UPLOAD_CLT 1 최신 보안 업데이트 미적용’입니다. 실제 로드된 버전을 해당 분기 내에서 비교합니다. 다른 Data Services Management Console 에디션을 수정했다고 이 사례를 완료할 수는 없습니다.

메커니즘과 전제조건

SQL 삽입은 데이터와 명령의 경계를 무너뜨립니다. 매개변수화 쿼리, 데이터베이스 계정 권한과 로그를 확인합니다. 노출 입증에 파괴적 입력은 필요하지 않습니다.

sap가 공개한 1차 기록 CVE-2026-66763의 범위는 SAP BusinessObjects Business Intelligence Platform (Central Management Server)이며 사용한 개정일은 2026-08-11입니다. 이 범위는 CERTFR-2026-AVI-0998의 통합 제품 및 제품군과 구분해 제시합니다.

CVE-2026-66763의 공개 평가는 CVSS 3.1, 7.9/10입니다. 아래 벡터는 기술적 전제조건을 설명하며 공격 빈도나 특정 설치의 침해 가능성을 수치화하지 않습니다.

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N

공격 벡터
로컬
사전 권한
높음
사용자 상호작용
없음
복잡도
낮음
약점 유형
CWE-321

적절한 조치 선택

  1. Change and Transport System Attach Tool (ctsattach) 인스턴스, 실행 버전과 책임자를 찾고 조건 CTS_UPLOAD_CLT 1 최신 보안 업데이트 미적용을 CERTFR-2026-AVI-0998과 함께 기록합니다.
  2. 설치 분기를 Change and Transport System Attach Tool (ctsattach) 공급업체 문서와 대조합니다. 해당 분기 패키지와 의존 서비스 시험을 준비하고 변경 전 상태를 보관합니다.
  3. Change and Transport System Attach Tool (ctsattach) 변경 후 실제 로드 버전을 다시 수집하고 아래 업무 흐름을 검증합니다. 모든 예외에는 책임자, 노출 완화책과 만료일이 필요합니다.

실제 업무 흐름에서 수정 검증

Data Services Management Console에 맞춰 조정할 검증 시나리오: Change and Transport System Attach Tool (ctsattach)의 프로세스나 활성 커널이 로드한 버전을 기록하고 유지보수 지침에 따라 재시작합니다. 의존 업무 흐름과 배포 이미지 또는 실행 파일에 포함된 복사본을 확인합니다. 이는 방어적 시험 제안이며 제3자 시스템에서 시험을 수행했다는 주장이 아닙니다.

CERTFR-2026-AVI-0998의 분석 한계: 공급업체 전제조건이나 자체 로그 조사를 대신하지 않습니다. 문서화된 버전만 제시하며 공격 날짜나 피해자를 만들어내지 않습니다.

이 사례에 관한 질문

Change and Transport System Attach Tool (ctsattach)에서 확인할 조건은 무엇인가요?

CERTFR-2026-AVI-0998의 조건은 Change and Transport System Attach Tool (ctsattach) — CTS_UPLOAD_CLT 1 최신 보안 업데이트 미적용입니다. 에디션과 실행 버전을 확인하고 명시되지 않은 분기로 경계를 확장하지 마십시오.

Data Services Management Console와 Social Intelligence를 하나의 수정으로 처리하면 안 되는 이유는?

CERTFR-2026-AVI-0998는 25개 항목에서 구성요소를 구분합니다. 각 분기를 자체 업데이트 문서와 기능 시험에 연결해야 합니다.

기록 CVE-2026-66763가 명시한 전제조건은?

CVE-2026-66763의 공개 벡터는 CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N입니다. CERTFR-2026-AVI-0998의 통합 제품에 적용하기 전에 SAP BusinessObjects Business Intelligence Platform (Central Management Server)에서 해당 조건을 확인하십시오.

출처와 관련 자료

실무 가이드 : 취약점의 우선순위를 정하고 해결 방안을 검증합니다.

이 사례의 판단을 더 살펴보기

원본 권고문의 전체 목록

기사 표는 발췌일 수 있습니다. 아래 목록은 지정된 개정판의 모든 영향 대상 시스템 항목과 CVE를 포함합니다. 귀사 자산 목록이 아니며 각 CVE가 모든 제품에 해당한다는 뜻도 아닙니다.

공식 출처 · CERTFR-2026-AVI-0998
권고문 개정일 : · 확인일 :

영향 대상 시스템 · 25

버전 조건의 모호한 번역을 피하기 위해 프랑스어 원문을 유지합니다.

  1. Data Services Management Console versions SBOP_DS_MANAGEMENT_CONSOLE 4.3 et 2025 sans le dernier correctif de sécurité
  2. Change and Transport System Attach Tool (ctsattach) version CTS_UPLOAD_CLT 1 sans le dernier correctif de sécurité
  3. Business AI Platform (Approuter) version <23.0.0 sans le dernier correctif de sécurité
  4. Commerce Cloud versions COM_CLOUD 2211, 2211-JDK21, DHUB_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  5. ABAP Platform versions KRNL64UC 7.53, KERNEL 7.53, 7.54 et 7.77 sans le dernier correctif de sécurité
  6. NetWeaver AS Java (Adobe Document Services) version ADSSAP 7.50 sans le dernier correctif de sécurité
  7. NetWeaver and ABAP Platform (Change and Transport System - Customer Transport Integration Wizard versions SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758 et SAP_BASIS 816 sans le dernier correctif de sécurité
  8. SAPSPrint Service versions SAPSPRINT 8.00 et 8.10 sans le dernier correctif de sécurité
  9. Commerce Cloud (Bouncy Castle Java library) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  10. S/4 HANA (Reprocess Bank Statement Items), BusinessObjects Business Intelligence Platform (Admin Tools) versions S4CORE 104, 105, 106, 107, 108, 109, ENTERPRISE 430 et 2025 sans le dernier correctif de sécurité
  11. SAPUI5 versions SAP_UI 750, 754, 755, 756, 757, 758, 816 et UI_700 200 sans le dernier correctif de sécurité
  12. AP FICA ODN framework versions SAPSCORE 132, S4CORE 102, 103, 104, 105, 106, 107, 108, FI-CA 606, 616, 617 et 618 sans le dernier correctif de sécurité
  13. NetWeaver Application Server ABAP and ABAP Platform versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, KERNEL 7.22, 7.53, 7.54, 7.77, 7.93 et 9.16 sans le dernier correctif de sécurité
  14. BusinessObjects Business Intelligence versions ENTERPRISE 430, 2025, 2027, ENTERPRISECLIENTTOOLS 430, 2025 et 2027 sans le dernier correctif de sécurité
  15. Commerce Cloud and Data Hub (Apache Log4j Core) versions COM_CLOUD 2211, 2211-JDK21 et DHUB_CLOUD 2211 sans le dernier correctif de sécurité
  16. S/4 HANA (Reprocess Bank Statement Items) versions S4CORE 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
  17. Advanced Planning and Optimization (Model Mix Planning) versions SCMAPO 713, 714, S4CORE 102, 103, 104, S4COREOP 104, 105, 106, 107, 108, 109, SCM 700, 701, 702 et 712 sans le dernier correctif de sécurité
  18. Manufacturing Integration and Intelligence versions XMII 15.4, 15.5, MII_ADMIN 15.4 et 15.5 sans le dernier correctif de sécurité
  19. Commerce Cloud (Data Hub Adapter) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  20. Commerce Cloud (Search and Navigation) versions COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  21. ABAP Developer Tools versions SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918 et SAP_BASIS 920 sans le dernier correctif de sécurité
  22. NetWeaver Application Server ABAP versions SAP_UI 754, 755, 756, 757, 758, 816, EP-FLP 7.50, SAP_BASIS 731 et AJAX-RUNTIME 7.50 sans le dernier correctif de sécurité
  23. BusinessObjects Business Intelligence Platform (Central Management Server) versions SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918, SAP_BASIS 920, ENTERPRISE 430, 2025 et 2027 sans le dernier correctif de sécurité
  24. NetWeaver and ABAP Platform versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.22EXT2, 7.22EXT3, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16 9.18, 9.19, KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18 et 9.19 sans le dernier correctif de sécurité
  25. Social Intelligence versions S4FND 102, 103, 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
CVE 식별자 · 42