SAP GUI加密缺陷致敏感数据面临泄露风险

漏洞概述：用户数据存储加密机制失效

全球数十万企业使用的SAP GUI界面被曝存在安全缺陷，其Windows（CVE-2025-0055）和Java（CVE-2025-0056）版本的用户输入历史记录功能采用过时加密或完全不加密的方式存储敏感数据。Pathlock研究员Jonathan Stross与Fortinet的Julian Petersohn发现，该系统本地存储的用户名、身份证号、银行账号等数据要么未加密，要么仅使用可重复利用的弱XOR密钥保护。

图片来源：Nitpicker / Shutterstock

Qualys安全研究经理Mayuresh Dani指出："虽然密码字段未被记录，但攻击者能获取的敏感数据范围仍然非常广泛。这两个漏洞反映了不安全的本地数据存储行为带来的重大组织风险。"SAP已于2025年1月联合Pathlock团队向客户静默发布安全补丁。

技术细节：XOR加密形同虚设

CVE-2025-0055漏洞的核心在于加密机制失效。SAP GUI Windows版将用户输入的ID、社保号等数据通过静态XOR密钥加密后存入SQLite数据库文件（SAPHistory.db）。Pathlock的Stross在博客中强调："这种弱加密方案极易被逆向破解，攻击者只需掌握一个已知值就能解密全部内容。"

而CVE-2025-0056涉及的Java版本问题更为严重——历史数据完全以明文存储。Sectigo高级研究员Jason Soroko解释："这些序列化Java对象未经任何加密处理，攻击者只要获得被盗笔记本、被入侵工作站或钓鱼入口的文件系统访问权限，就能直接获取历史记录用于横向移动、精准鱼叉钓鱼或触发合规违规。"

潜在影响远超预期

尽管CVSS评分为中危（6/10），但Pathlock警告这些漏洞可能导致企业违反GDPR、PCI DSS或HIPAA等合规要求。Dani进一步分析称："泄露数据不仅为攻击者提供侦察所需情报，更能帮助其掌握组织结构、使用模式和系统配置，进而策划针对性极强的鱼叉钓鱼攻击。"

研究过程中还发现同源漏洞CVE-2025-0059影响SAP NetWeaver AS ABAP的HTML版本。更令人担忧的是，Stross指出SAP发布的修复版本（Windows 8.00 Patch Level 9+和Java 7.80 PL9+/8.10）可能因回退机制导致强加密措施失效。Pathlock建议企业彻底禁用输入历史功能以消除风险。