SAP chiude OVERPASS: un bug nel kernel a punteggio massimo apre i sistemi ERP

SAP ha pubblicato il 9 settembre 2026 il patch set di settembre che include la nota di sicurezza #3747649 per CVE-2026-44756, una vulnerabilità di gravità massima nel kernel dei sistemi ERP che consente esecuzione remota di comandi arbitrari con privilegi amministrativi senza richiedere autenticazione. La falla, scoperta e segnalata da Onapsis Research Labs con il nome in codice OVERPASS, colpisce la deserializzazione dell'Extended Passport Protocol, un meccanismo di tracing interno che processa header di sessione prima dei controlli di accesso. La stima di Onapsis indica oltre 10.000 sistemi SAP raggiungibili da Internet con il componente vulnerabile, e il dato è descritto come conservativo.

Come funziona l'attacco: il protocollo di tracing che si apre prima del cancello

Il nucleo della vulnerabilità è un buffer overflow nella libreria di processing dell'Extended Passport Protocol (EPP), classificato con CWE-120 secondo il record CVE.org. L'EPP è un meccanismo di tracing interno SAP che trasporta metadati di sessione in header processati all'apertura della connessione. La mancata validazione dei boundary su campi length forniti dall'esterno permette sovrascrittura di memoria durante la deserializzazione.

La sequenza è critica per la postura di sicurezza: il parsing EPP avviene prima che qualsiasi controllo di autenticazione, autorizzazione o policy di accesso sia valutato. Secondo l'analisi di Onapsis citata da SecurityWeek, "ogni controllo SAP che decide chi può fare cosa, inclusi lock utente, ruoli, oggetti autorizzazione e policy di logon, è valutato dopo il punto dove si trova la falla. Nessuno di essi blocca l'attaccante". Il componente vulnerabile gira sotto l'account operativo adm, che gestisce l'intera installazione SAP: l'esecuzione di codice in questo contesto equivale al controllo completo del sistema.

La superficie di attacco è multi-protocollo. L'Internet Communication Manager (ICM) di SAP espone il flaw su HTTP e HTTPS, ma la vulnerabilità è raggiungibile anche attraverso il protocollo SAP GUI e le connessioni RFC. Questa molteplicità di vettori amplifica la difficoltà di mitigazione perimetrale: non basta restringere l'accesso web, perché il kernel processa l'EPP indipendentemente dal canale utilizzato.

"Because EPP is processed as the session opens, every SAP control that decides who may do what, including user locks, roles, authorization objects, and logon policies, is evaluated later than the point where the flaw is reached. None of them is in the attacker's way" — Onapsis Research Labs, via SecurityWeek

La dimensione dell'esposizione: oltre 10.000 sistemi, e il conteggio è strutturalmente incompleto

JP Perez-Etchegoyen, CTO di Onapsis, ha quantificato l'esposizione con una precisione che sottolinea i limiti stessi della misurazione: "Una ricerca mirata con fingerprint ad alta fedeltà identifica più di 10.000 indirizzi IP unici raggiungibili da Internet con un'interfaccia web SAP, e quella cifra è conservativa". La conservatività del dato è strutturale, non retorica: il conteggio si limita ai sistemi HTTP-reachable, e sottoconta materialmente il SAP Web Dispatcher, che funge da proxy verso i backend e non restituisce banner identificativi SAP sul path root, rendendo impossibile per gli scanner Internet-wide l'attribuzione corretta.

Il numero, pur nella sua incompletezza, stabilisce che la superficie di attacco è concreta e distribuita. I sistemi ERP sono tra gli asset più critici delle grandi organizzazioni: SAP dichiara servire 99 delle 100 più grandi aziende mondiali. La compromissione di un sistema SAP non è un incidente di singola applicazione, ma un accesso a processi finanziari, logistici, risorse umane, dati clienti e reportistica regulatoria.

Il patch day di settembre: OVERPASS nel contesto delle patch SAP

Il September 2026 Patch Day di SAP ha rilasciato tra 20 e 22 patch di sicurezza, secondo le fonti: BleepingComputer e SecurityWeek riportano 20, Onapsis indica 22. La nota #3747649 per OVERPASS è classificata HotNews, la categoria di gravità più alta del vendor. Nel patch day sono presenti anche 5 HotNews e 6 High Priority notes, secondo Onapsis. La stessa Onapsis ha collaborato a 8 patch di questo ciclo, con 6 note di sicurezza pubblicate in co-segnalazione.

Nello stesso patch day SAP ha corretto anche CVE-2026-58240 (S4GET), una vulnerabilità di missing authentication in NetWeaver Message Server con CVSS 9.8, scoperta anch'essa da Onapsis. Sebbene la gravità sia prossima al massimo, la distinzione tecnica è rilevante: S4GET richiede condizioni specifiche di configurazione, mentre OVERPASS è pre-autenticazione e non richiede pre-condizioni.

Il record CVE-2026-44756 su CVE.org conferma il vector completo: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. L'indicatore S:C (Scope Changed) è particolarmente significativo: l'impatto supera il componente vulnerabile e si propaga al sistema operativo sottostante.

Cosa fare adesso

Applicare la patch della nota SAP #3747649 con priorità massima. La patch è disponibile per kernel ABAP e Java e per SAP Web Dispatcher versione 9.16. Le versioni di kernel elencate nell'advisory ufficiale sono: KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, 8.04, KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18, 9.19, 9.20, WEBDISP 9.16, 9.18, 9.19, 9.20.

Verificare che il sistema utilizzi una versione di Web Dispatcher affetta. Le versioni 9.16 sono vulnerabili; le altre versioni di Web Dispatcher e HANA Extended Application Services non sono interessate dalla falla, secondo l'analisi di Onapsis.

Non fare affidamento su controlli di rete o accesso come mitigazione sostitutiva. Poiché il parsing EPP avviene prima dell'autenticazione, firewall, VPN, segmentazione di rete o policy di lock utente non impediscono l'exploit. La patch è l'unica contromisura efficace.

Controllare la presenza di sistemi SAP esposti su Internet anche tramite Web Dispatcher. La stima di 10.000 sistemi HTTP-reachable è un piano inferiore; la ricognizione interna deve includere i proxy che non espongono banner identificativi.

Perché la pre-autenticazione cambia tutto: una lettura sulla postura ERP

La gravità massima di OVERPASS non deriva solo dal CVSS 10.0, ma dalla sua posizione architetturale. La maggior parte delle vulnerabilità ERP richiede almeno credenziali valide, un account compromesso o una configurazione deviante. OVERPASS bypassa questo livello: il protocollo di tracing, progettato per supportare il debugging e il monitoraggio, diventa un tunnel di esecuzione. Il sistema di sicurezza SAP è costruito in modo gerarchico, con controlli che si attivano in sequenza; la falla precede ogni sequenza.

La mancanza di evidenza di exploit in-the-wild, confermata sia da Onapsis che da SAP, è un dato di fatto attuale, non una garanzia. La complessità di un exploit per buffer overflow in deserializzazione binaria è tecnicamente elevata, ma la ricompensa — controllo amministrativo di sistemi ERP — è massima. La finestra tra disclosure e sfruttamento potenziale si misura in giorni, non in mesi, per vulnerabilità di questa gravità su target di questo valore.

La struttura stessa dell'esposizione, con migliaia di sistemi raggiungibili da Internet e un numero imprecisato di proxy invisibili agli scanner, suggerisce che il rischio non è contenuto. Il settore ERP ha tradizionalmente operato su assunzioni di rete interna e accesso controllato; OVERPASS dimostra che un singolo bug nel kernel può invalidare questa assunzione indipendentemente dalla topologia di rete adottata.

Fonti

• https://www.bleepingcomputer.com/news/security/sap-warns-of-maximum-severity-overpass-kernel-vulnerability/
• https://onapsis.com/blog/sap-security-patch-day-september-2026/
• https://www.securityweek.com/sap-patches-critical-extended-passport-processing-vulnerability/
• https://support.sap.com/en/my-support/knowledge-base/security-notes-news/september-2026.html?isu_page=1
• https://support.sap.com/en/my-support/knowledge-base/security-notes-news/august-2026.html
• https://nvd.nist.gov/vuln/detail/CVE-2026-58240
• https://nvd.nist.gov/vuln/detail/CVE-2026-58231
• https://nvd.nist.gov/vuln/detail/CVE-2026-2332
• https://www.cve.org/CVERecord?id=CVE-2026-44756
• https://www.cve.org/CVERecord?id=CVE-2026-58231

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti