SAP OVERPASS et S4GET : deux chemins sans compte vers le cœur ERP

Correctifs SAP du 8 septembre 2026. OVERPASS, CVE-2026-44756, et S4GET, CVE-2026-58240, sont deux vulnérabilités critiques découvertes par Onapsis dans des composants partagés de SAP. Le CERT-EU résume leur point commun : une exploitation distante sans authentification peut mener à des commandes système avec les droits du compte SAP. Leurs mécanismes ne sont pourtant pas interchangeables : OVERPASS corrompt la mémoire lors du traitement d’une structure de trace ; S4GET transforme un hôte externe en membre de confiance du cluster.

OVERPASS : la donnée de diagnostic arrive avant le login

L’Extended Passport ou EPP sert à suivre une requête à travers des composants SAP. Onapsis souligne trois propriétés qui expliquent l’exposition : le passeport est fourni par le client, il traverse notamment HTTP, SAP GUI et RFC, et il est traité à l’ouverture d’une session avant l’évaluation des droits utilisateur. Une corruption mémoire à cet endroit ne sera donc pas stoppée par un rôle SAP restreint ou par un verrouillage de compte ; ces contrôles se présentent plus tard dans le chemin.

Onapsis attribue à OVERPASS une RCE possible avec privilèges d’administration SAP et un score 10,0. Le laboratoire choisit de ne pas publier le champ malformé, l’offset fautif ni un PoC complet dans son avis initial. Nous pouvons expliquer la relation entre parseur de données client et corruption mémoire, mais pas prétendre connaître l’instruction exacte ou la charge qui détourne l’exécution. Un exploit public mentionné ultérieurement dans un outil de recherche change la disponibilité d’une démonstration, pas le niveau de détail contenu dans l’avis initial.

S4GET : une confiance de cluster accordée au mauvais hôte

Le Message Server maintient la liste des serveurs d’application et route les connexions SAP GUI. Les Gateways de ces serveurs consultent la notion d’hôte interne pour décider quelles fonctions RFC sont autorisées. Selon Onapsis, un paquet spécialement construit sur le port public du Message Server permettait à un acteur sans compte de faire considérer son adresse IP comme interne. Le Message Server propageait ensuite cette confiance au cluster ; l’attaquant pouvait appeler des programmes externes RFC sur les serveurs d’application et obtenir une exécution comme <sid>adm.

Onapsis qualifie S4GET de défaut de logique du produit et précise que les fichiers d’ACL courants secinfo, reginfo et ms/acl_info ne se trouvent pas sur la décision vulnérable. Le port visé sert aussi aux connexions SAP GUI légitimes ; le fermer sans autre conséquence n’est généralement pas une mitigation pratique. Une ACL distincte sur l’accès au port externe peut réduire l’exposition dans certains environnements, mais le laboratoire la présente comme durcissement et non remplacement du patch.

Prouver les deux risques sans confondre leurs effets

Dans un audit autorisé, OVERPASS demanderait d’instrumenter le parsing EPP sur les routes exposées, de comparer versions avant et après correctif et d’établir une corruption mémoire reproductible avant de parler de contrôle d’exécution. S4GET demanderait de suivre, pour un hôte externe de laboratoire, le statut attribué par le Message Server puis la décision de chaque Gateway. La preuve d’une identité de cluster acceptée n’est pas encore la preuve d’une commande exécutée ; la chaîne doit être vérifiée jusqu’à la fonction RFC. Onapsis a volontairement limité la divulgation technique de ses avis, et il serait irresponsable d’inventer les octets exacts d’un paquet « SAPMAP » sans les analyser.

Les notes SAP sont 3747649 pour OVERPASS et 3759472 pour S4GET. Le Patch Day SAP liste les versions de kernel et de Web Dispatcher affectées ; l’inventaire doit se baser sur ces composants, sur les versions réellement déployées. Les avis Onapsis du 8 septembre indiquaient qu’aucune exploitation active n’avait alors été observée par leur équipe. L’existence ultérieure d’un PoC ne transforme pas rétrospectivement cette déclaration datée en preuve d’attaque.

Deux frontières se dégagent : une structure de diagnostic ne doit pas être traitée comme une entrée sûre avant authentification, et l’appartenance à un cluster ne doit jamais pouvoir être déclarée par un client du port public. Dans les deux cas, les contrôles métier SAP se situent après la décision vulnérable.

Sources principales : Patch Day SAP, OVERPASS par Onapsis, S4GET par Onapsis, synthèse CERT-EU.