Atténuer OVERPASS : Corriger la CVE-2026-44756 dans le noyau SAP

La note de sécurité SAP 3747649 traite la vulnérabilité CVE-2026-44756 (nommée OVERPASS), une faille de corruption mémoire pré-authentification critique (CVSS 10.0) nichée au cœur de la bibliothèque de traitement Extended Passport (EPP) du noyau SAP. La fonctionnalité Extended Passport est conçue pour gérer le traçage, la surveillance et la propagation du contexte de corrélation au sein des architectures applicatives d'entreprise distribuées. Comme cette vulnérabilité réside directement dans les routines bas niveau d'analyse des en-têtes du noyau, un attaquant distant non authentifié peut envoyer des paquets réseau malformés via les protocoles Web (HTTP/S), Remote Function Calls (RFC) et SAP GUI. Cela déclenche un état de corruption mémoire permettant l'exécution arbitraire de commandes au niveau du système d'exploitation avec les privilèges de l'utilisateur d'administration SAP (généralement <sid>adm).

Pour les CTO, CISO et responsables d'infrastructures informatiques, OVERPASS représente une menace opérationnelle majeure. Dans la mesure où la faille se manifeste dès le traitement initial du protocole — bien avant la moindre authentification, évaluation du contrôle d'accès ou vérification des politiques applicatives —, les contrôles de sécurité standards tels que le contrôle d'accès basé sur les rôles (RBAC), l'authentification multifacteur (MFA) et les profils d'autorisation SAP n'offrent aucune protection. Les Web Dispatchers SAP exposés, les serveurs d'applications NetWeaver et les environnements S/4HANA sont immédiatement exposés à une compromission distante totale. L'application immédiate du correctif, combinée au filtrage du trafic entrant, est obligatoire pour protéger les données métiers critiques et les systèmes ERP centraux.

Impact métier et opérationnel

Les conséquences financières et opérationnelles d'une vulnérabilité pré-authentification CVSS 10.0 au cœur de l'infrastructure SAP ne sauraient être sous-estimées. Lorsqu'un attaquant obtient l'exécution de commandes arbitraires en tant que <sid>adm, il détient de fait le contrôle administratif total du système SAP sous-jacent, des binaires de la couche applicative et des connexions aux bases de données associées. Les risques stratégiques couvrent plusieurs domaines opérationnels :

• Compromission totale du système et exfiltration de données : Les attaquants peuvent manipuler les binaires d'exécution, extraire des identifiants de base de données sensibles, exfiltrer des états financiers ou des données commerciales propriétaires, et installer des portes dérobées persistantes au sein des environnements ERP de production.
• Brèche de périmètre et déplacement latéral : Les Web Dispatchers SAP sont fréquemment positionnés en zone démilitarisée (DMZ) de périmètre pour équilibrer la charge du trafic exposé à Internet. L'exploitation d'OVERPASS sur un Web Dispatcher exposé offre aux attaquants un point d'ancrage direct sur le réseau interne de l'entreprise, permettant un déplacement latéral rapide via les destinations RFC internes.
• Exposition réglementaire et conformité : Exploiter des environnements critiques contenant des vulnérabilités CVSS 10.0 non corrigées enfreint les exigences de conformité telles que SOX, le RGPD, ISO 27001 et NIS 2. Une violation découlant d'une vulnérabilité pré-authentification non patchée peut entraîner de lourdes sanctions financières, un échec aux audits et des obligations légales de notification de violation.
• Interruption opérationnelle et perturbation de la chaîne d'approvisionnement : L'exploitation de failles de corruption mémoire peut provoquer des erreurs système majeures (kernel panic), des plantages applicatifs ou le déploiement ciblé de rançongiciels. L'arrêt des systèmes S/4HANA ou ERP paralyse la production, la chaîne d'approvisionnement et le traitement des commandes, engendrant des coûts se chiffrant en millions d'euros par heure.

Plan d'architecture et d'ingénierie

La résolution de la vulnérabilité CVE-2026-44756 nécessite une approche d'ingénierie coordonnée englobant l'isolation du périmètre réseau, le filtrage au niveau du Web Dispatcher et le déploiement de correctifs du noyau sur l'ensemble des environnements SAP.

Phase 1 : Atténuation immédiate au niveau du réseau et de la passerelle

Si le patch immédiat du noyau SAP est différé en raison des fenêtres de gestion des changements, les équipes d'infrastructure doivent appliquer sans délai un blocage de périmètre sur le Web Dispatcher SAP et les couches de reverse proxy. Restreignez l'accès public aux points de terminaison administratifs et RFC, et déployez des signatures de pare-feu applicatif (WAF) conçues pour détecter les longueurs anormales d'en-têtes Extended Passport (EPP).

# Bloquer les en-têtes EPP malformés et l'exposition RFC brute sur les reverse proxies
# Exemple de configuration NGINX Ingress pour rejeter les charges utiles RFC / EPP non approuvées
location /sap/bc/gui/sap/its/ {
    allow 10.200.0.0/16; # Restreindre aux sous-réseaux internes de l'entreprise
    deny all;
}

location /sap/public/ {
    # Valider et filtrer les en-têtes entrants
    proxy_set_header SAP-PASSPORT ""; # Supprimer les en-têtes passport obsolètes s'ils ne sont pas utilisés en externe
}

Phase 2 : Procédure de correctif du noyau SAP

Pour éradiquer complètement OVERPASS, les équipes d'ingénierie doivent remplacer le noyau SAP actif par le niveau de patch corrigé spécifié dans la note SAP 3747649. Suivez une procédure de déploiement structurée à travers les environnements de hors-production et de production :

1. Identifier les composants affectés : Inventoriez toutes les instances SAP en cours d'exécution, notamment S/4HANA, NetWeaver ABAP/JAVA et les Web Dispatchers SAP autonomes à l'aide de la commande disp+work -v.
2. Télécharger et vérifier les correctifs : Téléchargez les binaires mis à jour du noyau (SAPEXEDB.SAR et SAPEXE.SAR) depuis le portail de support SAP. Vérifiez les empreintes cryptographiques avant toute distribution.
3. Automatiser la distribution des correctifs : Utilisez Ansible ou des pipelines d'infrastructure as code pour déployer les binaires sur les grappes de nœuds.

---
# Tâches Ansible pour la préparation de la mise à jour du noyau SAP
- name: Extraire les archives du noyau SAP
  ansible.builtin.command:
    cmd: "sapcar -xvf SAPEXEDB.SAR -R /sapmnt/{{ sap_sid }}/exe/new_kernel"
  become: true
  become_user: "{{ sap_sid | lower }}adm"

- name: Arrêter l'instance applicative SAP
  ansible.builtin.command:
    cmd: "stopsap r3"
  become: true
  become_user: "{{ sap_sid | lower }}adm"

- name: Exécuter le script de permissions root SAP
  ansible.builtin.command:
    cmd: "/sapmnt/{{ sap_sid }}/exe/new_kernel/saproot.sh {{ sap_sid }}"
  become: true
  become_user: root

- name: Démarrer l'instance applicative SAP
  ansible.builtin.command:
    cmd: "startsap r3"
  become: true
  become_user: "{{ sap_sid | lower }}adm"

Ce que cela change en pratique

• Traiter les Web Dispatchers SAP comme des nœuds périphériques non approuvés : Sécurisez les Web Dispatchers exposés avec des politiques d'accès réseau Zero Trust (ZTNA) et un filtrage strict par liste d'autorisations IP au lieu de les exposer directement sur l'Internet public.
• Établir des pipelines automatisés de maintenance du noyau : Abandonnez les mises à jour annuelles manuelles du noyau SAP. Les équipes d'ingénierie doivent adopter des pipelines de patch automatisés capables de déployer des noyaux mis à jour dans un délai de 48 à 72 heures après la publication de CVE critiques.
• Durcir les privilèges du système d'exploitation : Isolez strictly les autorisations de l'utilisateur <sid>adm. Veillez à ce que les processus applicatifs ne puissent pas élever leurs privilèges vers root ni modifier les services systemd au niveau du système si le noyau SAP est compromis.
• Imposer une inspection approfondie des protocoles : Mettez en œuvre des outils de sécurité réseau capables d'analyser le trafic binaire RFC et SAP GUI afin de détecter les structures de protocole anormales et les tentatives d'exploitation pré-authentification.
• Exiger la parité de l'environnement de recette (Staging) : Veillez à ce que les systèmes SAP de QA et de recette reflètent exactement les niveaux de noyau de la production afin de permettre une validation rapide des notes de sécurité sans longs cycles de recette.

L'approche d'Ali Run AIOps

Chez Ali Run AIOps, nous intégrons l'ingénierie système Linux avancée, l'automatisation DevSecOps et l'observabilité AIOps pour protéger les architectures d'entreprise complexes contre des menaces modernes comme OVERPASS. Nos plateformes automatisées de gestion du cycle de vie surveillent en permanence les systèmes SAP, détectent les dérives de composants et cartographient les dépendances critiques du noyau sur des environnements multi-cloud et sur site.

Lorsque des vulnérabilités de sévérité élevée émergent, nos playbooks d'orchestration automatisée permettent aux équipes d'ingénierie d'exécuter des mises à jour progressives du noyau sans interruption de service (zero-downtime), d'exécuter des contrôles de compatibilité préalables et de déployer instantanément des mesures d'atténuation sur le périmètre. En associant l'analyse prédictive des menaces à des pratiques d'automatisation SRE robustes, Ali Run AIOps aide les dirigeants d'entreprise à maintenir leur posture de sécurité, à respecter les exigences de conformité strictes et à maximiser la disponibilité de leurs systèmes.

Sources

• SAP Patches Critical Extended Passport Processing Vulnerability (SecurityWeek)
• CVE-2026-44756 Detail (National Vulnerability Database)