SEC Consult SA-20260415-0 :: SAP HANA Cockpit 및 SAP HANA Database Explorer에서 X.509 인증서의 개인 키 노출

핵심 요약

SAP HANA Cockpit 및 SAP HANA Database Explorer에서 X.509 인증서의 개인 키 노출 취약점이 발견되었습니다. 이 취약점은 SAP HANA 시스템에서 사용되는 X.509 인증서의 개인 키가 부적절하게 노출될 수 있게 하여, 공격자가 해당 키를 탈취할 경우 시스템에 대한 무단 접근, 통신 가로채기 및 데이터 위변조를 시도할 수 있습니다. (OWASP A02:2021 – Cryptographic Failures) IT 감사인은 조직 내 SAP HANA 시스템의 취약점 패치 여부와 암호키 관리 절차의 적정성을 즉시 점검하여 민감 정보 유출 및 시스템 무결성 훼손 리스크를 평가해야 합니다.

💡 개선 권고안

• ✔기술적 조치SAP HANA Cockpit 및 Database Explorer 시스템을 최신 보안 패치 버전(HANA Cockpit 2.18.2 이상, HRTT 2.16.254002 이상)으로 즉시 업데이트할 것을 권고함.
• ✔기술적 조치SAP HANA 시스템에서 사용되는 X.509 인증서의 개인 키가 안전한 하드웨어 보안 모듈(HSM) 또는 키 관리 시스템(KMS)에 저장되고, 최소 권한 원칙에 따라 접근이 통제되도록 설정할 것을 권고함.
• ✔관리적 조치암호키의 생성, 저장, 사용, 폐기 등 전 생애주기에 걸친 암호키 관리 정책 및 절차를 수립하고, 이에 대한 정기적인 준수 여부 점검 및 감사 활동을 강화할 것을 권고함.
• ✔관리적 조치조직 내 SAP HANA 시스템에 대한 정기적인 취약점 점검을 수행하고, 발견된 취약점에 대해서는 신속하게 조치하며, 재발 방지 대책을 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문