CVE-2020-6287

Falha crítica no SAP NetWeaver Application Server JAVA que permite a um atacante sem qualquer autenticação executar tarefas administrativas via um serviço web exposto por padrão, incluindo a criação de um usuário administrador. Conhecida como RECON, afeta a base de praticamente todo o ecossistema SAP que roda sobre a pilha JAVA (Portal, Solution Manager, PI/PO, Landscape Manager, entre outros), o que faz um único ponto de exposição comprometer sistemas de negócio inteiros.

A causa é CWE-306 (Missing Authentication for Critical Function). O componente vulnerável é o LM Configuration Wizard, parte do NetWeaver AS JAVA, que expõe o endpoint SOAP CTCWebService. Esse serviço foi projetado para executar tarefas de configuração administrativas, mas não impõe verificação de autenticação antes de processar as requisições — qualquer cliente HTTP com acesso de rede ao endpoint consegue invocar as operações expostas.

Como a checagem de autenticação simplesmente não existe nessa camada, o atacante controla diretamente os parâmetros das tarefas de configuração enviadas ao serviço. Isso inclui a capacidade de criar usuários com privilégios administrativos, atribuir autorizações arbitrárias a contas existentes e extrair informações do sistema — tudo isso sem apresentar credenciais válidas.

O impacto é amplo porque o AS JAVA é a camada de fundação de vários produtos SAP (Enterprise Portal, Solution Manager, PI/PO, Landscape Manager, etc.). Qualquer produto construído sobre essa pilha herda a exposição do CTCWebService, o que explica o escopo do CVSS 10.0 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) — sem interação do usuário, sem privilégio prévio, e com comprometimento total de confidencialidade, integridade e disponibilidade.

O vetor é rede pura: HTTP(S) até o endpoint SOAP do CTCWebService, tipicamente exposto na porta do AS JAVA. Não há pré-requisito de autenticação, de configuração não padrão além do serviço estar ativo (o que é o caso em instalações padrão do componente), nem interação de usuário. A complexidade de exploração é baixa — existe módulo Metasploit, template Nuclei e PoC pública, o que reduz drasticamente a barreira técnica para exploração em massa.

Na prática documentada pela Onapsis (que descobriu e reportou a falha), o resultado final típico é a criação de um usuário administrativo no sistema JAVA, a partir do qual o atacante obtém controle total: leitura e modificação de dados de negócio, pivotamento para sistemas integrados (o AS JAVA frequentemente conecta com ECC, BW, CRM via RFC/trust) e potencial disponibilização de acesso persistente.

A CISA incluiu a CVE-2020-6287 no catálogo KEV (adicionada em novembro de 2021), confirmando exploração ativa em ambientes reais. Não há indicação, nas fontes consultadas, de vínculo confirmado com campanhas de ransomware, mas o CERT/CISA já havia emitido alerta específico (AA20-195A) logo após a divulgação em 2020, sinalizando tentativas de exploração em campo desde o início.

A correção oficial está na SAP Security Note 2934135, que fornece as versões corrigidas do componente LM Configuration Wizard. É necessário aplicar o patch correspondente ao Support Package Stack específico da instalação — a nota SAP detalha o patch exato por versão e SP, e deve ser consultada diretamente para o nível de patch aplicável ao ambiente.

Como controle compensatório quando a atualização imediata não é viável, restringir o acesso de rede ao endpoint CTCWebService (por exemplo, bloqueando o caminho do serviço no nível de proxy reverso ou firewall de aplicação) reduz a superfície de exposição, mas não elimina a vulnerabilidade subjacente — qualquer origem com acesso liberado ainda pode explorá-la. Isso é paliativo, não substituto do patch.

Não funciona como mitigação assumir que a rede interna é

Requisições SOAP não autenticadas dirigidas ao endpoint CTCWebService, especialmente operações relacionadas a criação de usuário ou atribuição de autorizações, são o sinal primário — logs de acesso web do AS JAVA e logs de auditoria do UME (User Management Engine) devem ser correlacionados para identificar criação de contas administrativas sem sessão autenticada correspondente. A Onapsis publicou uma ferramenta de IOC (CVE-2020-6287_RECON-scanner) que pode orientar quais artefatos e padrões de log procurar.

Na ausência de WAF ou proxy que registre o payload SOAP completo, detectar exploração retroativa é difícil: o próprio mecanismo da falha (ausência de autenticação) significa que a requisição maliciosa se parece com tráfego administrativo legítimo do ponto de vista do protocolo, diferenciando-se principalmente pela origem inesperada ou pela criação de usuários fora do fluxo normal de administração.