КиберосноваSGRC
BDU:2026-05417
Высокий

BDU:2026-05417: Уязвимость программных платформ SAP S/4HANA и SAP ERP, связанная с недостатками процедуры авторизации, позволяющая нарушителю оказать влияние на целостность и доступность защищаемой информации

CVSS v37.1
CVSS v27.5
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2026-05417

Описание

Уязвимость программных платформ SAP S/4HANA и SAP ERP связана с недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать влияние на целостность и доступность защищаемой информации

Что делать с BDU:2026-05417

Высокая уязвимость (CVSS 7.1) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
7.1Высокий
Пересчитать →
v2
7.5
Только просмотр
AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:HAV:N/AC:L/Au:S/C:N/I:P/A:C

CWE — тип уязвимости

CWE-862

CVE — международный идентификатор

CVE-2026-34256
CWE-862
Отсутствие авторизации

Программа не проверяет права доступа перед выполнением операции. Позволяет обход контроля доступа.

Как атакуют и что делать ▾

Сценарий атаки

API-эндпоинт не проверяет права: /api/users/123/delete доступен без проверки роли. Атакующий меняет ID в запросе.

Последствия

Доступ к чужим данным, удаление/модификация ресурсов других пользователей.

Рекомендации

Проверяйте авторизацию на КАЖДОМ эндпоинте, используйте middleware/decorator для RBAC.

Тактики и техники

Нарушение авторизации

Уязвимое ПО (40)

ВендорНазваниеВерсияПлатформа
SAPSAP S/4HANAS4CORE 107Не указана
SAPSAP S/4HANAS4CORE 108Не указана
SAPSAP S/4HANAS4CORE 102Не указана
SAPSAP S/4HANAS4CORE 103Не указана
SAPSAP S/4HANAS4CORE 104Не указана
SAPSAP S/4HANAS4CORE 105Не указана
SAPSAP S/4HANAS4CORE 106Не указана
SAPSAP S/4HANASAP_FIN 618Не указана
SAPSAP S/4HANASAP_FIN 720Не указана
SAPSAP S/4HANASAP_FIN 730Не указана
SAPSAP S/4HANAS4CORE 109Не указана
SAPSAP ERPSAP_FIN 618Не указана
SAPSAP ERPSAP_FIN 720Не указана
SAPSAP ERPSAP_FIN 730Не указана
SAPSAP ERPEA-FIN 617Не указана
SAPSAP ERPEA-FIN 700Не указана
SAPSAP ERPSAPSCORE 135Не указана
SAPSAP ERPS4CORE 102Не указана
SAPSAP ERPS4CORE 103Не указана
SAPSAP ERPS4CORE 104Не указана
SAPSAP ERPS4CORE 105Не указана
SAPSAP ERPS4CORE 106Не указана
SAPSAP ERPS4CORE 107Не указана
SAPSAP ERPS4CORE 108Не указана
SAPSAP ERPS4CORE 109Не указана
SAPSAP ERPEA-APPL 600Не указана
SAPSAP ERPEA-APPL 602Не указана
SAPSAP ERPEA-APPL 603Не указана
SAPSAP ERPEA-APPL 604Не указана
SAPSAP ERPEA-APPL 605Не указана
SAPSAP ERPEA-APPL 606Не указана
SAPSAP S/4HANAEA-FIN 617Не указана
SAPSAP S/4HANAEA-FIN 700Не указана
SAPSAP S/4HANASAPSCORE 135Не указана
SAPSAP S/4HANAEA-APPL 600Не указана
SAPSAP S/4HANAEA-APPL 602Не указана
SAPSAP S/4HANAEA-APPL 603Не указана
SAPSAP S/4HANAEA-APPL 604Не указана
SAPSAP S/4HANAEA-APPL 605Не указана
SAPSAP S/4HANAEA-APPL 606Не указана

Рекомендации по устранению

Использование рекомендаций: https://support.sap.com/en/my-support/knowledge-base/security-notes-news/april-2026.html

Источники (1)

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 7.1

Уточните SLA под вашу среду

Базовый балл 7.1 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации0.0%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2026-04-14

Опубликована

2026-04-16

Обновлена

2026-04-16

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2026-34256 MITRE: CWE-862 Каталог CPE (ФСТЭК)

Связанные уязвимости

BDU:2026-05448
Средний
6.5

Уязвимость службы OData Service программной платформы SAP S/4HANA, позволяющая нарушителю получить доступ на чтение, изм

BDU:2026-01625
Высокий
9.9

Уязвимость инструмента создания сценариев веб-клиента системы для управления взаимоотношениями с клиентами SAP CRM и про

BDU:2026-00341
Высокий
9.1

Уязвимость интерфейса Remote Function Call (RFC) программной платформы SAP S/4HANA, позволяющая нарушителю обойти ограни

BDU:2026-00368
Высокий
9.9

Уязвимость программной платформы SAP S/4HANA, связанная с непринятием мер по защите структуры запроса SQL, позволяющая н

BDU:2025-14482
Средний
6.1

Уязвимость компонента SAP E-Recruiting BSP программной платформы SAP S/4HANA, позволяющая нарушителю перенаправить польз

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0