SAP corrige ICM2SHELL et ProxyGate, failles RCE critiques
SAP a publié, dans le cadre de son Security Patch Day de novembre, des correctifs pour des failles de sécurité de sévérité maximale affectant NetWeaver, le Web Dispatcher et le Gateway. Onapsis Research Labs a mis en lumière ces problèmes, baptisés ICM2SHELL et PROXYGATE, qui ouvrent la porte à une exécution de code à distance sans aucune vérification préalable d’identité.
ICM2SHELL, ciblant le Internet Communication Manager (ICM) et le Web Dispatcher, découle d’une faille de corruption mémoire dans la manière dont le noyau SAP gère le trafic WebSocket. Le support WebSocket est activé par défaut, même si aucune application ne l’utilise. Un attaquant disposant d’un accès réseau au port HTTP ou HTTPS peut, en envoyant une séquence de messages WebSocket spécialement élaborée, forcer le système à écrire des données contrôlées au-delà des limites de la mémoire allouée. Les conséquences sont graves : soit un crash immédiat du processus, soit une corruption mémoire exploitable pour lancer des commandes système en tant que l’utilisateur <sid>adm, donnant un contrôle total sur le système SAP compromis.
Le danger est accentué par le fait qu’un exploit fonctionnel a prouvé cette vulnérabilité, permettant l’exécution de commandes arbitraires sans authentification. Même sans atteindre le niveau de code d’exécution, le défaut provoque un déni de service fiable sur toute version du noyau SAP testée. La prise de contrôle complète permettrait à l’attaquant de récupérer des identifiants de base de données et des secrets, de modifier des données métiers sensibles ou de maintenir une persistance dans le système.
La porte ouverte par le Gateway
En parallèle, PROXYGATE (CVE-2026-89103) touche le SAP Gateway, composant essentiel pour les appels RFC entre systèmes. Cette faille est liée à la liste de contrôle d’accès prxyinfo, qui devrait restreindre le relais des connexions aux réseaux de confiance. Si cette politique est laissée ouverte – ce qui est le cas de plusieurs configurations par défaut – un attaquant externe peut soumettre des requêtes qui font croire au Gateway qu’elles proviennent d’une application interne. Il n’y a besoin ni de mot de passe, ni de certificat.
L’impact est similaire à celui d’ICM2SHELL : obtention de privilèges <sid>adm et contrôle total de l’environnement SAP. Ce qui est frappant, c’est que le défaut réside dans le noyau SAP lui-même, affectant un large éventail de versions, y compris celles déjà hors maintenance. De plus, le Gateway fonctionne sur des stacks ABAP, AS Java ou en mode autonome.
Les autres menaces critiques à surveiller
Les correctifs de novembre 2026 ne se limitent pas à ces deux menaces. SAP a également adressé d’autres failles de sévérité maximale. Par exemple, CVE-2026-109803, dans la gestion des connaissances XML, permettrait à un utilisateur authentifié de déclencher une transformation XSL non autorisée, risquant l’exécution de code. De même, CVE-2026-109795 présente un manque de validation d’entrée dans une fonctionnalité distante, permettant l’injection de code par un utilisateur à faibles privilèges. Onapsis a souligné que ces failles renforcent la vigilance nécessaire auprès des équipes de sécurité.
Face à la nature de ces failles, qui ne requièrent aucun effort d’ingénierie sociale, la seule réponse viable est la mise à jour. Les défenseurs doivent vérifier non seulement la version logicielle, mais aussi les paramètres de configuration, notamment le paramètre de profil gw/acl_mode_proxy pour le Gateway, qui est la clé de la protection contre PROXYGATE. Surveiller attentivement les bulletins de sécurité de SAP reste la seule assurance contre ces portes dérobées laissées ouvertes dans l’infrastructure critique.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-109795 | — | Critique (CVSS 9,9) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2026-109798 | — | Critique (CVSS 9,1) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2026-109803 | — | Critique (CVSS 9,9) | Non signalée | Voir l’avis de l’éditeur |
Données : NVD (NIST) et GitHub Advisory Database (CC BY 4.0, données adaptées).
Sources
- ICM2SHELL (CVE-2026-76964 and CVE-2026-89126): A Critical Pre-Authentication Vulnerability in SAP NetWeaver’s ICM and Web Dispatcher, onapsis.com
- PROXYGATE (CVE-2026-89103): A Critical Pre-Authentication Vulnerability in SAP NetWeaver’s Gateway, onapsis.com
- SAP Patches Critical ICM2SHELL, ProxyGate Vulnerabilities, SecurityWeek, 10 novembre 2026
- SAP patches ICM2SHELL and PROXYGATE maximum severity flaws, BleepingComputer, 10 novembre 2026
- GHSA-5p54-q5p3-9qqv : SAP NetWeaver does not perform necessary authorization checks and lacks sufficient…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-109795, NVD (NIST)
- GHSA-p7p2-whxc-mgmv : SAP BusinessObjects Business Intelligence Platform (Web Intelligence) does not properly…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-109798, NVD (NIST)
- GHSA-xj69-7mjj-rqhg : SAP NetWeaver Knowledge Management (XML Forms) does not sufficiently restrict the…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-109803, NVD (NIST)
