Kategorie: Allgemein

Veröffentlicht am

Aktuelle Patches

Top 10 der SAP Security Notes für Juli 2026.

1. Score 9.9   (Hot News)

Nummer: 3747367

[CVE-2026-44747] Speicherschadenschwachstelle in SAP NetWeaver Application Server ABAP

Durch eine Schwachstelle im SAP NetWeaver Application Server ABAP können authentifizierte Angreifer logische Fehler im SAP Memory Management gezielt ausnutzen. Dies kann einen Speicherschaden zur Folge haben, der unbefugte Datenzugriffe, Manipulationen oder Systemausfälle ermöglicht. In der Konsequenz sind die Vertraulichkeit, Integrität und Verfügbarkeit der betroffenen Anwendung massiv gefährdet.

READ MORE

2. Score 9.1   (Hot News)

Nummer: 3720138

[CVE-2026-27690] HTTP Request Smuggling in SAP Approuter

Eine HTTP-Request-Smuggling-Schwachstelle im SAP Approuter ermöglicht es unauthentifizierten Angreifern, manipulierte HTTP-Anfragen einzuschleusen. Dies führt zu einer Desynchronisation von Requests und Responses, wodurch vertrauliche Benutzerantworten offengelegt werden oder das System komplett blockiert werden kann. Die Schwachstelle beeinträchtigt somit die Vertraulichkeit und Verfügbarkeit des Systems erheblich.

READ MORE

3. Score 9.1   (Hot news)

Nummer: 3753495

[CVE-2026-44761] Unsichere Beispiel-Credentials in SAP Commerce Cloud

In der SAP Commerce Cloud besteht das Risiko, dass ein Standard-OAuth2-Client aktiv bleibt, dessen Zugangsdaten öffentlich im SAP Help Portal dokumentiert sind. Werden diese Beispiel-Credentials nicht manuell modifiziert, können unauthentifizierte Angreifer problemlos ein gültiges Zugriffstoken generieren. Dadurch erhalten sie unbefugten Lese- und Schreibzugriff auf bestimmte APIs. Ein Missbrauch hat gravierende Folgen für die Vertraulichkeit und Integrität der Daten, lässt die Verfügbarkeit des Systems jedoch unberührt.

READ MORE

4. Score 9.0  (Hot News)

Nummer: 3727078

[CVE-2026-40128] Directory-Traversal-Schwachstelle in SAP NetWeaver Application Server Java (Web-Container)

Über eine Sicherheitslücke im Web-Container des SAP NetWeaver Application Server Java können unauthentifizierte Angreifer manipulierte HTTP-Anmeldeanfragen senden. Durch die Manipulation von Dateieinschlussparametern lässt sich ein Pfadtraversal erzwingen, wodurch das System die eingebundene Datei verarbeitet. Dies ermöglicht es Angreifern, sensible Daten einzusehen, zu verändern oder Teile des lokalen Systems lahmzulegen.

Änderungsverlauf:

  • v17 (Aktuelle Version – Update vom 14. Juli 2026): Neuveröffentlichung des SAP-Hinweises mit aktualisierten Angaben zu Support Packages & Patches. Die Fehlerbehebung für ENGINEAPI 7.50 wurde auf die Support Packages SP020 bis SP028 ausgeweitet.

  • v13: Ursprünglich für Kunden freigegebene Erstversion.

READ MORE

5. Score 8.8   (High Priority)

Nummer: 3758101

[CVE-2026-40860] Mehrere Schwachstellen in Apache Camel innerhalb von SAP Integration Suite (Edge Integration Cell)

CVE-2026-40860 – Unsichere Deserialisierung von JMS ObjectMessage in camel-jms, camel-sjms, camel-sjms2 und camel-amqp (CVSS 8.8)

Die Komponenten zur Nachrichtenbindung in Apache Camel wandeln eingehende Daten ohne ausreichende Sicherheitsfilter oder Whitelists in Java-Objekte um. Angreifer, die Zugriff auf den Message Broker besitzen, können durch gezielt manipulierte Nachrichten eine Remotecodeausführung (RCE) erzwingen. Dies gefährdet die Vertraulichkeit, Integrität und Verfügbarkeit des Gesamtsystems massiv.

Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

CVE-2026-40453 – Unvollständiger Patch für CVE-2025-27636 in non-HTTP HeaderFilterStrategies ermöglicht Header-Injection durch Groß-/Kleinschreibung (CVSS 8.5)

Da die Header-Filtermechanismen von Apache Camel auf eine strikte Groß-/Kleinschreibung prüfen, lässt sich die Filterung durch das Einschleusen von internen Headern in abweichender Schreibweise umgehen. Angreifer mit Zugriff auf den Message Broker können dadurch Remotecode ausführen und unbefugt Daten auf nachgelagerten Systemen schreiben. Die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung sind hierdurch stark beeinträchtigt.

Vector: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

CVE-2026-33454 – Fehlender Inbound Header Filter in MailHeaderFilterStrategy ermöglicht RCE via MIME-Header-Injection (CVSS 7.7)

Eingehende MIME-Header mit Camel-Präfix werden von der Mail-Komponente in Apache Camel nicht gefiltert. Angreifer können über präparierte E-Mails schädliche Header einschleusen, um nachgeschaltete Routen zu manipulieren und verwundbare Systemkomponenten zu kompromittieren. Dies hat gravierende Folgen für die Vertraulichkeit und Integrität der Daten, während das Risiko für die Verfügbarkeit der Anwendung als gering eingestuft wird.

Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:L

READ MORE

6. Score 8.4   (High Priority)

Nummer: 3692165

[CVE-2026-0487] DLL-Hijacking-Schwachstelle in SAProuter unter Microsoft Windows

Unter Microsoft Windows ist der SAProuter anfällig für das Nachladen nicht vertrauenswürdiger Dynamic-Link-Library-Dateien (DLLs) durch nicht authentifizierte Angreifer. Dies ermöglicht es Dritten, den regulären DLL-Ladeprozess zu kapern („DLL Hijacking“) und schädlichen, beliebigen Code direkt auf dem System auszuführen. Ein solcher Angriff hat gravierende Konsequenzen für die Vertraulichkeit, Integrität und Verfügbarkeit des gesamten Systems.

READ MORE

7. Score 8.2   (Medium Priority)

Nummer: 3748227

[CVE-2026-44752] Cross-Site-Scripting-Schwachstelle (XSS) in SAP NetWeaver Application Server Java (Konfigurationsassistent)

Im SAP NetWeaver Application Server Java existiert eine Schwachstelle, über die nicht authentifizierte Angreifer Schadcode in Form von JavaScript über speziell präparierte URLs einschleusen können. Sobald ein Anwender eine solche URL aufruft, wird das Skript direkt in dessen Browser ausgeführt. Dies erlaubt es dem Angreifer, vertrauliche Sitzungsinformationen (Session-Daten) abzugreifen oder die im Client-Browser angezeigten, nicht-sensiblen Daten zu manipulieren. Die Sicherheitslücke hat erhebliche Auswirkungen auf die Vertraulichkeit, geringe Folgen für die Integrität und beeinträchtigt die Verfügbarkeit der Anwendung nicht.

READ MORE

8. Score 8.1   (Medium Priority)

Nummer: 3741519

[CVE-2026-44745] Open-Redirect-Schwachstelle in SAP Approuter

Der SAP Approuter prüft in bestimmten Konfigurationen eingehende Request-Header während des OAuth2-Authentifizierungsprozesses unzureichend. Diese Schwachstelle erlaubt es nicht authentifizierten Remote-Angreifern, manipulierte Links zu generieren. Klickt ein Opfer auf einen solchen Link, kann sich der Angreifer unberechtigten Zugriff verschaffen. Ein erfolgreicher Angriff gefährdet die Vertraulichkeit und Integrität der Anwendung in hohem Maße, während die Verfügbarkeit unangetastet bleibt.

READ MORE

9. Score 8.1   (Medium Priority)

Nummer: 3763800

[Mehrere CVEs] Mehrere Schwachstellen in Apache Tomcat in SAP Commerce Cloud

CVE-2026-43512 – Umgehung der Digest-Authentifizierung (CVSS 8.1)
Bei der Verarbeitung von Authentifizierungsanfragen fehlerhafter bzw. nicht existierender Benutzerkonten in der zugrunde liegenden Identitätsdatenbank weist Apache Tomcat logische Mängel auf. Ein anonymer Remote-Angreifer kann diesen Fehler nutzen, um die Anmeldeprozesse auszuhebeln und unbefugten Zugriff auf geschützte Systembereiche zu erlangen. Dies birgt erhebliche Risiken für die Vertraulichkeit, Integrität und Verfügbarkeit der Plattform.

Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2026-41293 – Unzureichende Validierung von HTTP/2-Request-Headern (CVSS 8.1)
Apache Tomcat überprüft dekodierte Zeichen innerhalb von HTTP/2-Anfrageheadern nicht fehlerfrei. Nicht authentifizierte Angreifer aus dem Netzwerk können über manipulierte Requests mit unzulässigen Header-Elementen unvorhersehbare Systemreaktionen hervorrufen. Ein Missbrauch hat potenziell schwerwiegende Konsequenzen für die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung.

Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2026-43515 – Fehlerhafte Rechtevergabe bei kollidierenden Sicherheitsvorgaben (CVSS 7.4)
Aufgrund einer ungenauen Umsetzung deklarativer Autorisierungsregeln bei überlappenden Sicherheitsvorgaben in Apache Tomcat können externe, unbefugte Akteure bestehende Zugriffssperren aushebeln. Auf diesem Weg lässt sich unberechtigter Zugriff auf sensible Ressourcen erzwingen, was die Vertraulichkeit und Integrität des Systems stark beeinträchtigt.

Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

READ MORE

10. Score 7.6   (Medium Priority)

Nummer: 3773304

[CVE-2026-58233] Schwachstelle bezüglich Remote-Ausführung von Code in Anhangs-Tool (ctsAttach) von SAP Change and Transport System

Über das Anhangs-Tool (ctsAttach) im SAP Change and Transport System können authentifizierte Angreifer eine manipulierte Archivdatei in das System einschleusen. Sobald diese Datei durch die Anwendungsbibliothek verarbeitet wird, löst sie eine unsichere Deserialisierung aus. Damit der Angriff erfolgreich ist, muss ein Anwender die schädliche Archivdatei aktiv ausführen – geschieht dies, kann der Angreifer Schadcode aus der Ferne ausführen (RCE), sensible Systemdaten abgreifen sowie die Kontrolle über das System und dessen Prozesse übernehmen. Die Schwachstelle gefährdet die Vertraulichkeit und Integrität der Daten massiv, während das Risiko für die Systemverfügbarkeit als gering eingestuft wird.

READ MORE

>> Weitere Security Notes  https://me.sap.com/securitynotes

Das regelmäßige Einspielen von Security-Patches ist aus drei Gründen unverzichtbar:

  • Schutz vor Totalausfall & Sabotage: Wie die aktuellen Meldungen zu Denial-of-Service (DoS) zeigen, können Angreifer Systeme gezielt lahmlegen. Ohne Patches riskieren Unternehmen kostspielige Stillstände der gesamten Produktion oder des Vertriebs.

  • Prävention von Datendiebstahl: Schwachstellen wie SQL-Injections oder XML-Manipulationen sind offene Türen für Industriespionage. Einmal im System, können Angreifer unbemerkt sensible Geschäftsgeheimnisse oder Kundendaten absaugen.

  • Compliance & Haftung: Gesetzliche Anforderungen (wie die DSGVO) und interne Audits fordern ein angemessenes Sicherheitsniveau. Wer bekannte Lücken offen lässt, handelt grob fahrlässig und riskiert nicht nur Bußgelder, sondern auch einen massiven Reputationsverlust.

Veröffentlicht am

Aktuelle Patches

Top 10 der SAP Security Notes für Juni 2026.

1. Score 9.9   (Hot News)

Nummer: 3733332

 [CVE-2026-44748] XML Signature Wrapping in SAML-Authentifizierung in SAP NetWeaver AS ABAP und ABAP-Plattform

Der SAP NetWeaver Application Server ABAP sowie die ABAP-Plattform weisen eine Schwachstelle auf, durch die ein authentifizierter Benutzer mit regulären Berechtigungen eine gültig signierte Nachricht erhalten und anschließend veränderte, signierte XML-Dokumente an die prüfende Instanz übermitteln kann. Dadurch besteht die Gefahr, dass manipulierte Identitätsinformationen akzeptiert werden. In der Folge können unberechtigte Zugriffe auf vertrauliche Benutzerdaten erfolgen und die ordnungsgemäße Nutzung des Systems beeinträchtigt werden. Die Sicherheitslücke kann erhebliche Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der betroffenen Anwendung haben.

READ MORE

2. Score 9.8   (Hot News)

Nummer: 3724897

[CVE-2026-27671] Speicherbeschädigungsschwachstelle in Application Server ABAP von SAP NetWeaver und ABAP-Plattform

Eine fehlerhafte Validierung des RFC-Protokolls im SAP-Kernel, der vom Application Server ABAP innerhalb von SAP NetWeaver sowie der ABAP-Plattform genutzt wird, ermöglicht es einem nicht authentifizierten Angreifer, eine gezielt präparierte RFC-Anfrage zu übermitteln. Durch die Ausnutzung von Schwächen in der Speicherverwaltung kann dies zu Speicherbeschädigungen führen. Die daraus resultierenden Auswirkungen können die Vertraulichkeit, Integrität und Verfügbarkeit der betroffenen Anwendung in erheblichem Maße beeinträchtigen.

READ MORE

3. Score 9.1   (Hot news)

Nummer: 3732262

[CVE-2026-22732] Mögliche Spring-Security-Schwachstelle in SAP Commerce Cloud und SAP Data Hub

SAP Commerce Cloud und SAP Data Hub setzen eine Version von Spring Security ein, die möglicherweise von der Schwachstelle CVE-2026-22732 betroffen ist. In bestimmten Szenarien kann es dazu kommen, dass Spring Security HTTP-Antwort-Header, darunter auch sicherheitsrelevante Header, nicht ordnungsgemäß in die Antwort einfügt. Dies kann erhebliche Auswirkungen auf die Vertraulichkeit und Integrität der Anwendung haben, während die Verfügbarkeit davon unberührt bleibt.

READ MORE

4. Score 9.0  (Hot News)

Nummer: 3730078

[CVE-2026-40128] Directory-Traversal-Schwachstelle in SAP NetWeaver Application Server Java (Web-Container)

Im Web-Container des SAP NetWeaver Application Server Java besteht die Möglichkeit, dass ein nicht authentifizierter Angreifer eine manipulierte HTTP-Anfrage zur Anmeldung erstellt. Durch die gezielte Beeinflussung von Dateieinbindungsparametern kann ein Path-Traversal-Angriff durchgeführt und die Verarbeitung einer eingebundenen Datei ausgelöst werden. Dadurch könnte der Angreifer auf vertrauliche Informationen zugreifen, Daten verändern oder die Funktionsfähigkeit einzelner Komponenten des lokalen Systems beeinträchtigen.

READ MORE

5. Score 7.4   (High Priority)

Nummer: 3718484

[CVE-2026-29145] Mehrere Schwachstellen in Apache Tomcat in SAP Commerce Cloud

Symptom
Dieser Sicherheitshinweis beschreibt mehrere bekannte Sicherheitslücken in Apache Tomcat, die SAP Commerce Cloud betreffen. Weitere Informationen zu den einzelnen Schwachstellen sowie die zugehörigen CVE- und CVSS-Bewertungen sind nachfolgend aufgeführt.

SAP Commerce Cloud nutzt eine Apache-Tomcat-Version, die verschiedene bekannte Schwachstellen enthält. Die betroffenen Fehler stehen im Zusammenhang mit Mechanismen zur zertifikatsbasierten Authentifizierung und Zertifikatsprüfung.

CVE-2026-29145
Unter bestimmten, nicht standardmäßigen Konfigurationen kann ein Fehler dazu führen, dass die Authentifizierung mittels Client-Zertifikat erfolgreich durchgeführt wird, obwohl sie eigentlich fehlschlagen müsste. Dadurch könnte ein unbefugter Zugriff auf geschützte Ressourcen ermöglicht werden. Die Schwachstelle hat erhebliche Auswirkungen auf die Vertraulichkeit und Integrität der Anwendung, während die Verfügbarkeit nicht betroffen ist.
CVSS: 7.4; CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

CVE-2025-66614
Bei bestimmten Nicht-Standardkonfigurationen kann eine inkonsistente Prüfung zwischen dem SNI-Wert und dem HTTP-Host-Header dazu führen, dass die Durchsetzung von Client-Zertifikaten umgangen wird. Dies kann die Vertraulichkeit und Integrität der Anwendung erheblich gefährden, ohne die Verfügbarkeit zu beeinträchtigen.
CVSS: 7.4; CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

CVE-2026-24734
Eine fehlerhafte Überprüfung von OCSP-Antworten kann unter bestimmten Konfigurationsbedingungen dazu führen, dass widerrufene Zertifikate weiterhin für Authentifizierungszwecke akzeptiert werden. Dadurch entstehen erhebliche Risiken für die Vertraulichkeit und Integrität der Anwendung, während die Verfügbarkeit unverändert bleibt.
CVSS: 7.4; CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

READ MORE

6. Score 7.1   (High Priority)

Nummer: 3721546

[CVE-2026-44751] Fehlende Berechtigungsprüfung in Application Server ABAP von SAP NetWeaver und ABAP-Plattform

Im Application Server ABAP werden für einen bereits authentifizierten Anwender nicht alle notwendigen Berechtigungschecks durchgeführt. Dies erlaubt es einem Angreifer, einen Befehl zur Erstellung eines Berichts abzusetzen, durch den möglicherweise Daten eines anderen Nutzers überschrieben werden. Die Folge ist eine Eskalation von Berechtigungen. Die Auswirkungen auf die Integrität sind erheblich, auf die Verfügbarkeit gering; die Vertraulichkeit bleibt unbeeinträchtigt.

READ MORE

7. Score 6.6   (Medium Priority)

Nummer: 3716819

[CVE-2026-44754] Fehlender Aufruferidentifikations-Check-In für ODP-Datenreplikations-APIs

Bei den RFC-Bausteinen der ODP-Datenreplikations-API (ODP-RFC) unterbleibt die Prüfung, ob der Aufrufer eine zulässige SAP-interne Anwendung ist. Dadurch können Kunden- oder Drittanbieteranwendungen diese Bausteine auf eine nicht vorgesehene Weise nutzen. Dies birgt die Gefahr einer versehentlichen Datenpreisgabe. Die Integrität der Daten bleibt jedoch unberührt, und das Risiko für die Verfügbarkeit der Anwendung ist äußerst gering.

Weitere Details enthält der SAP-Hinweis 3255746.

READ MORE

8. Score 6.5   (Medium Priority)

Nummer: 3728691

[CVE-2026-44744] SQL-Injection-Schwachstelle in SAP S/4HANA

In der lokalen Version von SAP S/4HANA (On-Premise) liegt eine Schwachstelle bezüglich SQL-Einschleusung vor. Diese betrifft eine remote aufrufbare Funktionsbaustein-Komponente. Ein authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um nicht autorisierte Datenbankabfragen durchzuführen. Dadurch werden vertrauliche Daten preisgegeben, zu denen ein Angreifer normalerweise keinen Zugang hätte. Die Vertraulichkeit ist damit erheblich betroffen, während Integrität und Verfügbarkeit der Anwendung unbeeinträchtigt bleiben.

READ MORE

9. Score 6.1   (Medium Priority)

Nummer: 3726655

[CVE-2026-44746] Reflected-Cross-Site-Scripting-Schwachstelle (XSS) in SAP NetWeaver AS Java (JDBC Test Servlet)

Aufgrund einer Reflected-Cross-Site-Scripting-Schwachstelle (XSS) in SAP NetWeaver AS Java (JDBC Test Servlet) kann ein nicht authentifizierter Angreifer eine URL erstellen, die ein schädliches Skript einbettet. Klickt ein Opfer auf diesen Link, wird die eingeschleuste Eingabe während der Webseitengenerierung verarbeitet, was die Ausführung von schädlichen Inhalten im Browser des Opfers zur Folge hat. Dies könnte es dem Angreifer ermöglichen, auf Informationen zum Web-Client zuzugreifen und/oder diese zu ändern, wodurch Vertraulichkeit und Integrität der Anwendung beeinträchtigt werden. Die Verfügbarkeit bleibt unbeeinträchtigt.

READ MORE

10. Score 4.7   (Medium Priority)

Nummer: 3726280

[CVE-2026-44757] Cross-Site-Scripting-Schwachstelle (XSS) in CA Introscope Enterprise Manager

Im CA Introscope Enterprise Manager kann ein nicht authentifizierter Angreifer eine manipulierte URL erstellen. Wenn ein Opfer diese URL unter bestimmten Voraussetzungen aufruft, wird ein eingeschleuster Skriptcode im Browser des Opfers ausgeführt – und zwar im Kontext der betroffenen Anwendung. Diese Schwachstelle beeinträchtigt die Vertraulichkeit und Integrität der Anwendung in geringem Maße, während die Verfügbarkeit davon unberührt bleibt.

READ MORE

>> Weitere Security Notes  https://me.sap.com/securitynotes

Das regelmäßige Einspielen von Security-Patches ist aus drei Gründen unverzichtbar:

  • Schutz vor Totalausfall & Sabotage: Wie die aktuellen Meldungen zu Denial-of-Service (DoS) zeigen, können Angreifer Systeme gezielt lahmlegen. Ohne Patches riskieren Unternehmen kostspielige Stillstände der gesamten Produktion oder des Vertriebs.

  • Prävention von Datendiebstahl: Schwachstellen wie SQL-Injections oder XML-Manipulationen sind offene Türen für Industriespionage. Einmal im System, können Angreifer unbemerkt sensible Geschäftsgeheimnisse oder Kundendaten absaugen.

  • Compliance & Haftung: Gesetzliche Anforderungen (wie die DSGVO) und interne Audits fordern ein angemessenes Sicherheitsniveau. Wer bekannte Lücken offen lässt, handelt grob fahrlässig und riskiert nicht nur Bußgelder, sondern auch einen massiven Reputationsverlust.

Veröffentlicht am

Aktuelle Patches

Top 10 der SAP Security Notes für Mai2026.

1. Score 9.6   (Hot News)

Nummer: 3733064

[CVE-2026-34263] Fehlende Authentifizierungsprüfung in SAP-Commerce-Cloud-Konfiguration

In SAP Commerce Cloud wurde eine kritische Sicherheitslücke entdeckt, die auf eine Fehlkonfiguration des Spring Security-Frameworks zurückzuführen ist. Diese Schwachstelle ermöglicht es nicht authentifizierten Angreifern, über einen manipulierten Konfigurations-Upload eine Code-Injection durchzuführen. Dies führt im schlimmsten Fall dazu, dass der Angreifer die vollständige Kontrolle über den Server erlangt, was erhebliche Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der gesamten E-Commerce-Plattform hat. Um dieses Sicherheitsrisiko zu beheben, sollten Administratoren die entsprechenden Patches und Updates sofort einspielen.

READ MORE

2. Score 9.6   (Hot News)

Nummer: 3724838

[CVE-2026-34260] SQL-Injection-Schwachstelle in SAP S/4HANA (SAP Enterprise Search für ABAP)

In der SAP Enterprise Search für ABAP, einer Komponente von SAP S/4HANA, wurde eine Sicherheitslücke entdeckt, die authentifizierten Angreifern eine SQL-Injection ermöglicht. Diese Schwachstelle entsteht, weil die Anwendung Benutzereingaben direkt in SQL-Abfragen verkettet, ohne diese zuvor ausreichend zu validieren oder zu bereinigen. Ein Angreifer kann diese ungesicherten Eingaben ausnutzen, um schädliche SQL-Anweisungen in die Abfragen einzuschleusen und an die zugrunde liegende Datenbank zu übermitteln. Nach erfolgreicher Ausnutzung ist der Angreifer in der Lage, unberechtigten Zugriff auf vertrauliche Datenbankinformationen zu erlangen. Zudem besteht die Gefahr, dass die Anwendung durch die eingeschleusten Befehle zum Absturz gebracht wird. Dies hat erhebliche negative Auswirkungen auf die Vertraulichkeit der Daten und die Verfügbarkeit des Systems, während die Integrität der Daten nicht direkt beeinträchtigt wird.

READ MORE

3. Score 8.2   (High priority)

Nummer: 3732471

[CVE-2026-34259] OS-Command-Injection-Schwachstelle in SAP Forecasting and Replenishment

In SAP Forecasting and Replenishment (F&R) wurde eine kritische Schwachstelle im Zusammenhang mit der Ausführung von Betriebssystembefehlen (OS Command Execution) festgestellt. Diese Lücke ermöglicht es einem authentifizierten Angreifer, der bereits über administrative Berechtigungen verfügt, eine eigentlich nicht remote-fähige Funktion für bösartige Zwecke zu missbrauchen. Durch diese missbräuchliche Nutzung kann der Angreifer beliebige Betriebssystembefehle ausführen. Dies gestattet ihm, sensible Systemdaten unbefugt auszulesen oder zu manipulieren, sowie das gesamte System vollständig herunterzufahren. Im Ergebnis führt die erfolgreiche Ausnutzung zu einer vollständigen Kompromittierung der Vertraulichkeit, Integrität und Verfügbarkeit des gesamten F&R-Systems. Die betroffenen Systeme sollten umgehend aktualisiert werden, um diesen Angriffsvektor zu schließen.

READ MORE

4. Score 6.5   (Medium Priority)

Nummer: 3730019

[CVE-2026-40135] BS-Command-Injection-Schwachstelle in SAP NetWeaver Application Server für ABAP und ABAP-Plattform

Eine neu entdeckte Sicherheitslücke betrifft den SAP NetWeaver Application Server für ABAP sowie die ABAP-Plattform. Es handelt sich um eine BS-Command-Injection-Schwachstelle, die besonders brisant ist. Ein Angreifer, der bereits über administrative Rechte verfügt, kann diese Lücke ausnutzen, um manipulierte Shell-Befehle direkt auf dem Server abzusetzen. Das kritische Element hierbei ist die Fähigkeit des Angreifers, den Protokollierungsmechanismus zu umgehen. Infolgedessen können schädliche Betriebssystembefehle völlig unbemerkt und ohne Spur in den Logs ausgeführt werden. Dies bedroht unmittelbar die Integrität und die Verfügbarkeit der betroffenen Anwendung. Wichtig zu wissen ist, dass laut SAP die Vertraulichkeit der Daten durch diese spezifische Lücke nicht gefährdet ist. Betreiber sollten dennoch umgehend Patches einspielen, um die Systemintegrität sicherzustellen.

READ MORE

5. Score 6.3   (Medium Priority)

Nummer: 3718083

[CVE-2026-40133] Fehlende Berechtigungsprüfung in SAP-S/4HANA-Konditionspflege

Auch die SAP-S/4HANA-Konditionspflege weist eine Sicherheitslücke auf, die auf eine fehlende Berechtigungsprüfung zurückzuführen ist. Diese Schwachstelle ermöglicht es einem authentifizierten Angreifer, unbefugten Zugriff auf Konditionstabellensätze zu erlangen. Dadurch können diese Sätze unrechtmäßig eingesehen und sogar modifiziert werden. Obwohl die direkten Auswirkungen auf die Vertraulichkeit und Integrität der Daten laut SAP als gering eingestuft werden, besteht ein weiteres Risiko: Die Schwachstelle kann rechtmäßige Benutzer am Zugriff auf die Datensätze hindern. Dies beeinträchtigt die Verfügbarkeit der Anwendung in geringem Maße. Betreiber sollten die entsprechenden Patches und Updates zeitnah einspielen, um die Systemsicherheit und den reibungslosen Ablauf zu gewährleisten.

READ MORE

6. Score 6.1   (Medium Priority)

Nummer: 3727717

[CVE-2026-40137] Cross-Site-Scripting-Schwachstelle (XSS) in Business-Server-Pages-Anwendung (TAF_APPLAUNCHER)

In einer neu entdeckten Sicherheitslücke in der SAP-Komponente TAF_APPLAUNCHER innerhalb von Business Server Pages (BSP) liegt ein beträchtliches Risiko. Ein nicht authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um gezielt manipulierte Links zu erstellen. Wenn ein Opfer, ob angemeldet oder nicht, auf einen dieser Links klickt, wird dessen Browser automatisch auf eine externe, vom Angreifer kontrollierte Website umgeleitet. Auf dieser schädlichen Seite könnte der Angreifer potenziell vertrauliche Informationen, die im Browser des Opfers gespeichert sind, auslesen oder manipulieren. Während dies ein begrenztes Risiko für die Vertraulichkeit und Integrität der Anwendung darstellt, ist die Verfügbarkeit der Anwendung keineswegs gefährdet. Betreiber sollten die entsprechenden Patches zeitnah einspielen.

READ MORE

7. Score 5.4   (Medium Priority)

Nummer: 3721959

[CVE-2026-40132] Fehlende Berechtigungsprüfung in SAP Strategic Enterprise Management (BSP-Applikation „Balanced Scorecard Wizard“)

Eine Sicherheitslücke im SAP Strategic Enterprise Management (SEM), genauer gesagt im Scorecard Wizard innerhalb der Business Server Pages (BSP), resultiert aus einer fehlenden Berechtigungsprüfung. Dies ermöglicht es einem bereits authentifizierten Angreifer, unbefugt auf geschützte Informationen zuzugreifen. Über diesen Informationszugriff hinaus kann die Schwachstelle ausgenutzt werden, um Standardeinstellungen zu modifizieren und Wertefelder zu manipulieren. Dies führt zu einer Verfälschung von Risikobewertungen und kann dazu führen, dass eingeschätzte Risikostufen fälschlicherweise herabgestuft werden. Aufgrund dieser Manipulationsmöglichkeiten sind die Vertraulichkeit und Integrität der Daten in geringem Maße beeinträchtigt, während die Verfügbarkeit der Anwendung unbeeinflusst bleibt.

READ MORE

8. Score 4.8   (Medium Priority)

Nummer: 3716450

[CVE-2025-68161] Mögliche fehlerhafte Zertifikatsvalidierung in SAP Commerce Cloud (Apache Log4j)

Ein bekanntes Sicherheitsrisiko (CVE-2025-68161) im Zusammenhang mit veralteten Apache Log4j-Komponenten betrifft auch SAP Commerce Cloud. Die Schwachstelle liegt konkret im SocketAppender von Log4j Core, wo eine korrekte TLS-Hostnamensverifikation fehlt. Dies ermöglicht es nicht authentifizierten Angreifern, sich über das Netzwerk zwischen den Protokollserver und den Client zu schalten. Im Rahmen eines Man-in-the-Middle-Angriffs können so sensible Protokolldaten während der Übertragung abgefangen, mitgelesen oder sogar umgeleitet werden. Zwar stuft SAP die Auswirkungen auf Vertraulichkeit und Integrität nur als gering ein und schließt eine Beeinträchtigung der Verfügbarkeit aus, doch sollten Admins den entsprechenden Patch einspielen, um diesen Angriffsvektor zu schließen.

READ MORE

9. Score 4.7   (Medium Priority)

Nummer: 3728690

[CVE-2026-27682] Reflected-Cross-Site-Scripting-Schwachstelle (XSS) in SAP NetWeaver Application Server ABAP (Anwendungen auf Basis von Business Server Pages)

Im SAP NetWeaver Application Server ABAP wurde eine Reflected-Cross-Site-Scripting-Schwachstelle (XSS) innerhalb von Anwendungen identifiziert, die auf Business Server Pages (BSP) basieren. Ein nicht authentifizierter Angreifer kann diese Lücke ausnutzen, indem er eine speziell präparierte URL erstellt, die einen ungesicherten Parameter verwendet, um schädliche Skripte einzubetten. Sobald ein Opfer diesen manipulierten Link aufruft, wird der injizierte Code während der Generierung der Webseite verarbeitet und direkt im Browserkontext des Nutzers ausgeführt. Dies ermöglicht es dem Angreifer potenziell, auf sensible Informationen zuzugreifen oder Daten unbefugt zu modifizieren. Während die Vertraulichkeit und die Integrität der Anwendung durch diesen Angriff beeinträchtigt werden, hat die Schwachstelle keine Auswirkungen auf die allgemeine Verfügbarkeit des Systems.

10. Score 4.7   (Medium Priority)

Nummer: 3726583

[CVE-2026-34258] Content-Spoofing-Schwachstelle in SAPUI5 (Such-UI)

SAPUI5 (Such-UI) ermöglicht es einem nicht authentifizierten Angreifer, bestimmte URL-Parameter auf der Such-UI zu manipulieren, um schädlichen Inhalt einzuschließen. Eine erfolgreiche Ausnutzung kann Opferbenutzer dazu führen, dass sie auf eine von der Anwendung gerenderte, vom Angreifer gesteuerte Seite klicken und darauf zugreifen können. Diese Schwachstelle hat geringe Auswirkungen auf die Vertraulichkeit ohne Auswirkungen auf die Integrität und Verfügbarkeit der Anwendung.

READ MORE

>> Weitere Security Notes, 8 mit der Priorität Medium und 2 mit Low Priority  https://me.sap.com/securitynotes

Das regelmäßige Einspielen von Security-Patches ist aus drei Gründen unverzichtbar:

  • Schutz vor Totalausfall & Sabotage: Wie die aktuellen Meldungen zu Denial-of-Service (DoS) zeigen, können Angreifer Systeme gezielt lahmlegen. Ohne Patches riskieren Unternehmen kostspielige Stillstände der gesamten Produktion oder des Vertriebs.

  • Prävention von Datendiebstahl: Schwachstellen wie SQL-Injections oder XML-Manipulationen sind offene Türen für Industriespionage. Einmal im System, können Angreifer unbemerkt sensible Geschäftsgeheimnisse oder Kundendaten absaugen.

  • Compliance & Haftung: Gesetzliche Anforderungen (wie die DSGVO) und interne Audits fordern ein angemessenes Sicherheitsniveau. Wer bekannte Lücken offen lässt, handelt grob fahrlässig und riskiert nicht nur Bußgelder, sondern auch einen massiven Reputationsverlust.

Veröffentlicht am

Aktuelle Patches

Top 10 der SAP Security Notes für April 2026.

1. Score 9.9   (Hot News)

Nummer: 3719353 

[CVE-2026-27681] SQL-Injection-Schwachstelle in SAP Business Planning and Consolidation und SAP Business Warehouse

Ein authentifizierter Benutzer kann infolge mangelhafter Berechtigungsprüfungen in SAP Business Planning and Consolidation sowie SAP Business Warehouse Datenbankdaten mittels gezielter SQL-Anweisungen lesen, bearbeiten oder löschen. Die Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit des Systems sind dabei erheblich.

READ MORE

2. Score 7.1   (High priority)

Nummer: 3731908

[CVE-2026-34256] Fehlende Berechtigungsprüfung in SAP ERP und SAP S/4HANA (Private Cloud und On-Premise)

In SAP ERP sowie SAP S/4HANA (Private Cloud und On-Premise) ermöglicht eine fehlende Berechtigungsprüfung authentifizierten Angreifern, durch Ausführen eines bestimmten ABAP-Reports beliebige achtstellige ausführbare ABAP-Reports unbefugt zu überschreiben. Falls der betroffene Report danach aufgerufen wird, steht dessen eigentliche Funktion eventuell nicht mehr zur Verfügung. Eine erfolgreiche Ausnutzung beeinträchtigt die Verfügbarkeit sowie die Integrität des spezifischen Reports, wohingegen die Vertraulichkeit unberührt bleibt.

READ MORE

3. Score 6.5   (Medium Priority)

Nummer: 3680767

[CVE-2026-34264] Schwachstelle mit Blick auf Offenlegung von Informationen in SAP Human Capital Management für SAP S/4HANA

Bestimmte Rückmeldungen des Systems bei Berechtigungsprüfungen in SAP Human Capital Management für SAP S/4HANA erlauben es authentifizierten Benutzern mit geringen Privilegien, Inhalte außerhalb ihres Befugnisbereichs zu erraten und aufzulisten. Infolgedessen werden sensible Daten offengelegt, was die Vertraulichkeit stark beeinträchtigt, während Integrität und Verfügbarkeit unberührt bleiben.

READ MORE

4. Score 6.5   (Medium Priority)

Nummer: 3715177

[CVE-2026-27678] – Fehlende Berechtigungsprüfung in SAP-S/4HANA-Backend-OData-Service („Referenzstrukturen verwalten“)

Untergeordnete Entitäten lassen sich über exponierte OData-Services ohne entsprechende Befugnis aktualisieren oder löschen, weil im SAP-S/4HANA-Backend-OData-Service („Referenzstrukturen verwalten“) Berechtigungsprüfungen fehlen. Diese Schwachstelle beeinträchtigt die Integrität massiv, hat jedoch keinen Einfluss auf die Vertraulichkeit und Verfügbarkeit.

READ MORE

5. Score 6.5   (Medium Priority)

Nummer: 3715097

[CVE-2026-27677] – Fehlende Berechtigungsprüfung in SAP-S/4HANA-OData-Service („Referenzequipment pflegen“)

Einem Angreifer ist es möglich, untergeordnete Entitäten ohne die nötige Befugnis über OData-Services zu aktualisieren oder zu löschen, da im SAP-S/4HANA-OData-Service („Referenzequipment pflegen“) entsprechende Prüfungen fehlen. Die Integrität wird durch diese Schwachstelle erheblich beeinträchtigt, während keine Auswirkungen auf die Vertraulichkeit und Verfügbarkeit bestehen.

READ MORE

6. Score 6.5   (Medium Priority)

Nummer: 3696239

[CVE-2025-64775] Denial-of-Service-Schwachstelle in SAP-BusinessObjects-Business-Intelligence-Plattform

In dem SAP-S/4HANA-OData-Service („Referenzequipment pflegen“) lassen sich untergeordnete Entitäten unbefugt über OData-Services aktualisieren und löschen, da keine Berechtigungsprüfungen stattfinden. Dies beeinträchtigt die Integrität in hohem Maße, wirkt sich jedoch nicht auf die Vertraulichkeit oder Verfügbarkeit aus.

READ MORE

7. Score 6.5   (Medium Priority)

Nummer: 3705094

[CVE-2026-34261] Fehlende Berechtigungsprüfung in SAP Business Analytics und SAP Content Management

Unbefugte Aufrufe bestimmter Remote-Funktionsbausteine sind für authentifizierte Benutzer in SAP Business Analytics und SAP Content Management möglich, da keine ausreichenden Berechtigungsprüfungen stattfinden. Dies kann den Zugriff auf sensible Informationen über die zugewiesenen Rechte hinaus ermöglichen. Die Integrität und Verfügbarkeit bleiben gewahrt, während die Vertraulichkeit beeinträchtigt wird.

READ MORE

8. Score 6.5   (Medium Priority)

Nummer: 3716767

[CVE-2026-27679] Fehlende Berechtigungsprüfung in SAP-S/4HANA-Frontend-OData-Service („Referenzstrukturen verwalten“)

Über den SAP-S/4HANA-Frontend-OData-Service („Referenzstrukturen verwalten“) können Angreifer mangels Berechtigungsprüfungen untergeordnete Entitäten unbefugt aktualisieren oder löschen. Während die Integrität hierdurch stark beeinträchtigt wird, bleiben Vertraulichkeit und Verfügbarkeit unberührt.

READ MORE

9. Score 6.1   (Medium Priority)

Nummer: 3692004

[CVE-2026-34257] Open-Redirect-Schwachstelle in SAP NetWeaver Application Server ABAP

Nicht authentifizierte Angreifer können infolge einer Open-Redirect-Schwachstelle in SAP NetWeaver Application Server ABAP schädliche URLs erzeugen, die Opfer bei Zugriff auf eine vom Angreifer kontrollierte Seite umleiten. Während die Verfügbarkeit der Anwendung unberührt bleibt, werden Vertraulichkeit und Integrität in geringem Maße beeinträchtigt.

READ MORE

10. Score 6.1   (Medium Priority)

Nummer: 3719397

[CVE-2026-27674] Code-Injection-Schwachstelle in SAP NetWeaver Application Server Java (Web Dynpro Java)

Ein nicht authentifizierter Angreifer kann durch eine Code-Injection-Schwachstelle in SAP NetWeaver Application Server Java (Web Dynpro Java) manipulierte Eingaben bereitstellen, die die Anwendung auf externe Inhalte verweisen lassen. Sobald ein Opfer die betroffene Funktion nutzt, wird dieser kontrollierte Inhalt im Browser ausgeführt, was die Sitzung gefährden und die Ausführung beliebigen clientseitigen Codes ermöglichen kann. Während die Vertraulichkeit und Integrität dadurch beeinträchtigt werden, bleibt die Verfügbarkeit gewahrt.

READ MORE

>> Weitere Security Notes https://me.sap.com/securitynotes

Das regelmäßige Einspielen von Security-Patches ist aus drei Gründen unverzichtbar:

  • Schutz vor Totalausfall & Sabotage: Wie die aktuellen Meldungen zu Denial-of-Service (DoS) zeigen, können Angreifer Systeme gezielt lahmlegen. Ohne Patches riskieren Unternehmen kostspielige Stillstände der gesamten Produktion oder des Vertriebs.

  • Prävention von Datendiebstahl: Schwachstellen wie SQL-Injections oder XML-Manipulationen sind offene Türen für Industriespionage. Einmal im System, können Angreifer unbemerkt sensible Geschäftsgeheimnisse oder Kundendaten absaugen.

  • Compliance & Haftung: Gesetzliche Anforderungen (wie die DSGVO) und interne Audits fordern ein angemessenes Sicherheitsniveau. Wer bekannte Lücken offen lässt, handelt grob fahrlässig und riskiert nicht nur Bußgelder, sondern auch einen massiven Reputationsverlust.

Veröffentlicht am

Aktuelle Patches

Top 10 der SAP Security Notes für Februar 2026.

1. Score 9.9   (Hot News)

Nummer: 3697099

[CVE-2026-0488] Code-Injection-Schwachstelle in SAP CRM und SAP S/4HANA (Scripting-Editor)

Ein authentifizierter Angreifer kann über einen Fehler in generischen Funktionsbausteinen unbefugt kritische Funktionen aufrufen. Besonders brisant: Durch die Ausführung beliebiger SQL-Anweisungen droht eine vollständige Kompromittierung der Datenbank. Dies gefährdet die Vertraulichkeit, Integrität und Verfügbarkeit Ihrer Unternehmensdaten massiv.

READ MORE

2. Score 9.6  (Hot News)

Nummer: 3674774

 

[CVE-2026-0509] Fehlende Berechtigungsprüfung in SAP NetWeaver Application Server ABAP und ABAP-Plattform

Berechtigungsumgehung in SAP NetWeaver AS ABAP & ABAP-Plattform. In der ABAP-Plattform wurde eine Schwachstelle identifiziert, die es authentifizierten Benutzern mit minimalen Rechten ermöglicht, Background Remote Function Calls (bgRFC) auszuführen – und das ohne die eigentlich zwingend erforderliche S_RFC-Berechtigung. Während die Vertraulichkeit der Daten gewahrt bleibt, können die Integrität und die Verfügbarkeit des Systems durch unbefugte Funktionsaufrufe erheblich beeinträchtigt werden.

READ MORE

3. Score 8.8  (High Priority)

Nummer: 3697567

 [CVE-2026-23687] XML Signature Wrapping in SAP NetWeaver AS ABAP und ABAP-Plattform.

Sicherheitslücke bei der XML-Signaturprüfung in SAP NetWeaver AS ABAP. Eine Schwachstelle in der ABAP-Plattform erlaubt es authentifizierten Angreifern, signierte XML-Dokumente zu manipulieren und diese erfolgreich verifizieren zu lassen. Durch das Einschleusen modifizierter Nachrichten können manipulative Identitätsangaben vorgetäuscht werden. Dies ermöglicht unbefugten Zugriff auf sensible Benutzerdaten und kann den regulären Systembetrieb empfindlich stören.

READ MORE

4. Score 7.7   (High priority)

Nummer: 3703092

[CVE-2026-23689] Denial of Service (DOS) in SAP Supply Chain Management

Denial-of-Service (DoS) durch Ressourcen-Erschöpfung. Ein Fehler in einem remote-fähigen Funktionsbaustein ermöglicht es authentifizierten Angreifern, das System gezielt zu überlasten. Durch den Aufruf mit extrem hohen Schleifenparametern werden massiv Systemressourcen gebunden. Dies führt zu langanhaltenden Rechenprozessen, die die Verfügbarkeit des gesamten Systems lahmlegen können. Während Daten sicher bleiben (Vertraulichkeit/Integrität), droht ein kompletter Stillstand der betroffenen Dienste.

READ MORE

5. Score 7.7   (High priority)

Nummer: 3705882

[CVE-2026-24322] Fehlende Berechtigungsprüfung in SAP Solution Tools Plug-In (ST-PI)

Denial-of-Service (DoS) durch Ressourcen-Erschöpfung.  Ein Fehler in einem remote-fähigen Funktionsbaustein ermöglicht es authentifizierten Angreifern, das System gezielt zu überlasten. Durch den Aufruf mit extrem hohen Schleifenparametern werden massiv Systemressourcen gebunden. Dies führt zu langanhaltenden Rechenprozessen, die die Verfügbarkeit des gesamten Systems lahmlegen können. Während Daten sicher bleiben (Vertraulichkeit/Integrität), droht ein kompletter Stillstand der betroffenen Dienste.

READ MORE

6. Score 7.5   (High priority)

Nummer: 3654236

[CVE-2026-0490] Denial-of-Service (DoS) in SAP-BusinessObjects-BI-Plattform

Authentifizierungsumgehung in SAP BusinessObjects BI. Eine kritische Schwachstelle in der SAP BusinessObjects BI-Plattform ermöglicht es nicht authentifizierten Angreifern, Sicherheitsmechanismen an vertrauenswürdigen Endpunkten zu umgehen. Durch gezielte Netzwerkanfragen können rechtmäßige Benutzer am Zugriff auf die Plattform gehindert werden. Dies führt zu einer massiven Beeinträchtigung der Systemverfügbarkeit (Denial of Service), ohne dass dabei Daten abfließen oder verändert werden.

READ MORE

7. Score 7.5   (High Priority)

Nummer: 3678282

[CVE-2026-0485] Denial-of-Service-Schwachstelle (DoS) in SAP-BusinessObjects-BI-Plattform

Dauerhafter Denial-of-Service im BusinessObjects CMS. Die SAP BusinessObjects BI-Plattform weist eine Schwachstelle auf, durch die ein nicht authentifizierter Angreifer den Content Management Server (CMS) gezielt zum Absturz bringen kann. Durch wiederholte, speziell gestaltete Anfragen lässt sich das automatische Neustarten des Servers ausnutzen, um eine dauerhafte Serviceunterbrechung zu erzwingen. Während Vertraulichkeit und Integrität gewahrt bleiben, ist die Verfügbarkeit der gesamten Plattform massiv gefährdet.

READ MORE

8. Score 7.4   (High Priority)

Nummer: 3692405

[CVE-2025-12383] Race-Bedingung in SAP Commerce Cloud

SSL-Trust-Umgehung in SAP Commerce Cloud. Aufgrund einer Race Condition in der verwendeten Eclipse-Jersey-Bibliothek (CVE-2025-12383) weist die SAP Commerce Cloud eine Sicherheitslücke bei der SSL-Validierung auf. Authentifizierte Benutzer können unter bestimmten Bedingungen die Prüfung von SSL-Zertifikaten für ausgehende Verbindungen umgehen. Dies ermöglicht potenzielle Man-in-the-Middle-Angriffe, was die Vertraulichkeit und Integrität der übertragenen Daten erheblich gefährdet.

READ MORE

9. Score 7.3   (High Priority)

Nummer: 3674246

[CVE-2026-0508] Open-Redirect-Schwachstelle in SAP BusinessObjects Business Intelligence

URL-Injection und unvalidierte Umleitung in SAP BusinessObjects BI. Eine Schwachstelle in SAP BusinessObjects BI ermöglicht es hochprivilegierten Angreifern, schädliche URLs in die Anwendung einzuschleusen. Durch diese „Open Redirection“ werden Opfer beim Zugriff auf die manipulierten Links auf externe, vom Angreifer kontrollierte Domänen umgeleitet. Dies kann zum automatischen Download von Schadsoftware führen und gefährdet somit massiv die Vertraulichkeit und Integrität der lokalen Arbeitsumgebung und der Anwendungsdaten.

READ MORE

10. Score 6.5   (Medium Priority)

Nummer: 3695912

[CVE-2026-24324] Denial-of-Service-Schwachstelle (DoS) in SAP-BusinessObjects-Business-Intelligence-Plattform (Admin-Tools)

Denial-of-Service via Admin-Tools in SAP BusinessObjects BI. Eine Schwachstelle in den Admin-Tools der SAP BusinessObjects BI-Plattform ermöglicht es authentifizierten Benutzern, durch eine spezifische Abfrage den Content Management Server (CMS) zum Absturz zu bringen. Dies führt zu einem teilweisen oder vollständigen Denial-of-Service (DoS). Während Vertraulichkeit und Integrität gewahrt bleiben, wird die Verfügbarkeit der zentralen BI-Dienste durch diese Lücke erheblich eingeschränkt.

READ MORE

>> Weitere Security Notes, 15 mit der Priorität Medium und 2 mit Low Priority  https://me.sap.com/securitynotes

Das regelmäßige Einspielen von Security-Patches ist aus drei Gründen unverzichtbar:

  • Schutz vor Totalausfall & Sabotage: Wie die aktuellen Meldungen zu Denial-of-Service (DoS) zeigen, können Angreifer Systeme gezielt lahmlegen. Ohne Patches riskieren Unternehmen kostspielige Stillstände der gesamten Produktion oder des Vertriebs.

  • Prävention von Datendiebstahl: Schwachstellen wie SQL-Injections oder XML-Manipulationen sind offene Türen für Industriespionage. Einmal im System, können Angreifer unbemerkt sensible Geschäftsgeheimnisse oder Kundendaten absaugen.

  • Compliance & Haftung: Gesetzliche Anforderungen (wie die DSGVO) und interne Audits fordern ein angemessenes Sicherheitsniveau. Wer bekannte Lücken offen lässt, handelt grob fahrlässig und riskiert nicht nur Bußgelder, sondern auch einen massiven Reputationsverlust.

Veröffentlicht am

Aktuelle Patches

Hier findet ihr eine Übersicht der SAP Security Notes für Juni 2025:

1. Score 9.6   (Hot News)

Nummer: 3600840

[CVE-2025-42989] Fehlende Berechtigungsprüfung in SAP NetWeaver Application Server für ABAP

Im Rahmen der RFC-Eingangsverarbeitung wurde eine Schwachstelle identifiziert, die es einem authentifizierten Benutzer ermöglicht, die erforderlichen Berechtigungsprüfungen zu umgehen. Dies kann zu einer Ausweitung der Rechte führen. Sollte diese Schwachstelle erfolgreich ausgenutzt werden, könnte die Integrität und Verfügbarkeit der Anwendung erheblich beeinträchtigt werden.

READ MORE

2. Score 9.1  (Hot News)

Nummer: 3604119

Änderung vom 14.5.25

[CVE-2025-42999] Unsichere Deserialisierung in SAP NetWeaver (Visual Composer Development Server)

Alles klar, auf zum zweiten Text! Hier sind ein paar Optionen, die den Ton und die Struktur des Originals ändern:

Vorschlag 1: „Im Metadaten-Uploader des SAP NetWeaver Visual Composer wurde eine Schwachstelle entdeckt: Privilegierte Benutzer könnten hier manipulierte oder bösartige Inhalte hochladen. Dies könnte beim Deserialisieren potenziell die Vertraulichkeit, Integrität und Verfügbarkeit des Hostsystems gefährden.

Wichtig: Auch wenn Sie bereits Sicherheitshinweis 3594142 implementiert haben, sollten alle Kunden unbedingt auch Sicherheitshinweis 3604119 einspielen. Die Patches in 3604119 sind kumulativ und beinhalten alle notwendigen Korrekturen, die zuvor in 3594142 veröffentlicht wurden.

READ MORE

3. Score 8.8  (High Priority)

Nummer: 3609271

[CVE-2025-42982] Offenlegung von Informationen in SAP GRC (AC-Plug-In)

Eine Sicherheitslücke in SAP GRC ermöglicht es nicht-administrativen Benutzern, auf bestimmte Transaktionen zuzugreifen und diese auszuführen. Dadurch könnten sie die Zugangsdaten der übertragenen Systeme manipulieren oder kontrollieren. Dies hätte weitreichende und kritische Folgen für die Vertraulichkeit, Integrität und Verfügbarkeit der betroffenen Anwendung.

READ MORE

4. Score 8.7   (High priority)

Nummer: 3474398

[CVE-2025-43010] Code-Injection-Schwachstelle in SAP S/4HANA Cloud Private Edition oder On-Premise (SCM Master Data Layer (MDL))

Dieser Sicherheitshinweis befasst sich mit zwei separaten Schwachstellen, die die SAP BusinessObjects Business Intelligence Plattform betreffen. Nachfolgend finden Sie detaillierte Informationen zu den Schwachstellen, inklusive der zugehörigen CVE- und CVSS-Daten:

Information Disclosure (CVE-2025-0061): Session-Hijacking ohne Benutzerinteraktion möglich Aufgrund einer Schwachstelle in der Informationsweitergabe kann ein nicht authentifizierter Angreifer in der SAP BusinessObjects Business Intelligence Plattform ein Session-Hijacking über das Netzwerk durchführen, ohne dass eine Benutzerinteraktion erforderlich ist. Dies ermöglicht dem Angreifer, auf Benutzerdaten in der Anwendung zuzugreifen und diese zu ändern.

CVSS: 8.7; CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N

Code Injection (CVE-2025-0060): Sensible Daten durch JS-Code-Einschleusung gefährdet Die SAP BusinessObjects Business Intelligence Plattform weist eine Schwachstelle auf, die es einem authentifizierten Benutzer mit eingeschränktem Zugriff ermöglicht, schädlichen JavaScript-Code einzuschleusen. Dieser Code kann sensible Informationen vom Server auslesen und an den Angreifer übertragen. Der Angreifer könnte diese Informationen wiederum nutzen, um sich als hochprivilegierter Benutzer auszugeben, was schwerwiegende Auswirkungen auf die Vertraulichkeit und Integrität der Anwendung hätte.

CVSS: 6.5; CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Änderungsprotokoll:

v22 (aktuelle Version) – UPDATE 27. Mai 2025: Dieser SAP-Hinweis wurde mit aktualisierten Informationen zur Gültigkeit sowie zu Support Packages & Patches erneut veröffentlicht.

v20 (Initialversion für Kunden freigegeben)

READ MORE

5. Score 8.5   (High priority)

Nummer: 3606484

[CVE-2025-42983] Fehlende Berechtigungsprüfung in SAP Business Warehouse und SAP Basis Plug-In

Eine kritische Sicherheitslücke in SAP Business Warehouse und dem SAP Basis Plug-In erlaubt es einem authentifizierten Angreifer, beliebige SAP-Datenbanktabellen zu löschen. Dies kann zu erheblichem Datenverlust führen oder das System unbrauchbar machen. Bei erfolgreicher Ausnutzung dieser Schwachstelle ist der Angreifer in der Lage, Datenbankeinträge komplett zu entfernen, hat jedoch keinen Lesezugriff auf die Daten.

READ MORE

6. Score 8.2   (High Priority)

Nummer: 3590984

[CVE-2025-23192] Cross-Site-Scripting-Schwachstelle (XSS) in SAP BusinessObjects Business Intelligence (BI-Arbeitsbereich)

Im SAP BusinessObjects Business Intelligence (BI-Arbeitsbereich) wurde eine Schwachstelle entdeckt: Ein nicht authentifizierter Angreifer kann bösartige Skripte innerhalb eines Arbeitsbereichs anlegen und speichern. Sobald ein Benutzer auf diesen Arbeitsbereich zugreift, wird das Skript in seinem Browser ausgeführt. Dies könnte dem Angreifer potenziell Zugang zu sensiblen Sitzungsinformationen verschaffen und es ihm ermöglichen, Browserinformationen zu manipulieren oder unzugänglich zu machen. Die Auswirkungen sind beträchtlich für die Vertraulichkeit, jedoch geringer für die Integrität und Verfügbarkeit.

READ MORE

7. Score 7.7   (High Priority)

Nummer: 3591978

 [CVE-2025-43011] Fehlende Berechtigungsprüfung in SAP Landscape Transformation (PCL-Basis)

Unter spezifischen Voraussetzungen versagt das PCL-Basismodul von SAP Landscape Transformation bei der Durchführung notwendiger Berechtigungsprüfungen. Dies eröffnet authentifizierten Benutzern den Zugang zu Funktionen oder Daten, die eigentlich eingeschränkt sein sollten. Die primäre Auswirkung dieser Schwachstelle liegt in einer erheblichen Beeinträchtigung der Vertraulichkeit, während die Integrität oder Verfügbarkeit der Anwendung unbeeinträchtigt bleibt.

Änderungsprotokoll:

v9 (aktuelle Version) – UPDATE 27. Mai 2025: Dieser SAP-Hinweis wurde aktualisiert und enthält nun erweiterte Informationen zur Gültigkeit sowie zu Support Packages & Patches. Die Gültigkeit für DMIS 2011_1_700, DMIS 2011_1_710, DMIS 2011_1_730 und DMIS 2011_1_731 wurde auf SP013 ausgedehnt.

v7 (Initialversion für Kunden freigegeben)

READ MORE

8. Score 7.6   (High Priority)

Nummer: 3610591

[CVE-2025-42977] Directory-Traversal-Schwachstelle in SAP NetWeaver Visual Composer

Im SAP NetWeaver Visual Composer wurde eine Directory-Traversal-Schwachstelle entdeckt. Diese Lücke entsteht durch eine unzureichende Überprüfung von Eingabepfaden, die von Benutzern mit weitreichenden Berechtigungen bereitgestellt werden. Ein Angreifer könnte dies ausnutzen, um beliebige Dateien zu lesen oder zu ändern. Dies hätte schwerwiegende Auswirkungen auf die Vertraulichkeit und eine geringere Beeinträchtigung der Integrität.

READ MORE

9. Score 7.5   (Medium Priority)

Nummer: 3610006

 [CVE-2025-42994] Mehrere Schwachstellen in SAP MDM Server

Dieser Sicherheitshinweis beleuchtet drei separate Schwachstellen, die den SAP MDM Server betreffen. Nachfolgend finden Sie die Details der einzelnen Lücken, inklusive der zugehörigen CVE- und CVSS-Informationen:

Speicherbeschädigung (CVE-2025-42994) – Betroffen: ReadString-Funktion Die ReadString-Funktion des SAP MDM Servers birgt eine Anfälligkeit: Ein Angreifer kann speziell präparierte Pakete senden, die eine Verletzung des Speicher-Lesezugriffs im Serverprozess auslösen. Dies führt zum Absturz und unerwarteten Beenden des Servers, was erhebliche Auswirkungen auf die Verfügbarkeit hat, jedoch keine auf die Vertraulichkeit oder Integrität der Anwendung.

CVSS: 7.5; CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Speicherbeschädigung (CVE-2025-42995) – Betroffen: Read-Funktion Ähnlich der zuvor genannten Schwachstelle ermöglicht die Read-Funktion des SAP MDM Servers einem Angreifer, durch speziell gestaltete Pakete einen Speicher-Lesezugriffsfehler im Serverprozess zu provozieren. Auch hier führt dies zum Absturz und unerwarteten Beenden des Servers mit beträchtlichen Auswirkungen auf die Verfügbarkeit, ohne die Vertraulichkeit oder Integrität zu beeinflussen.

CVSS: 7.5; CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Unsicheres Session Management (CVE-2025-42996) Der SAP MDM Server weist eine Schwachstelle im Session Management auf. Ein Angreifer kann hierdurch die Kontrolle über bestehende Client-Sitzungen erlangen und bestimmte Funktionen ausführen, ohne sich erneut authentifizieren zu müssen. Dies könnte dem Angreifer ermöglichen, auf nicht sensible Informationen zuzugreifen oder diese zu ändern, sowie Serverressourcen zu überlasten. Die Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung sind hierbei geringfügig.

CVSS: 5.6; CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L

READ MORE

10. Score 6.7   (Medium Priority)

Nummer: 3580384

[CVE-2025-42993] Fehlende Berechtigungsprüfung in SAP S/4HANA (Bereitstellung von Unternehmens-/technischen Ereignissen)

Eine signifikante Sicherheitslücke in SAP S/4HANA (speziell bei der Bereitstellung von Unternehmens-/technischen Ereignissen) wurde entdeckt. Diese Schwachstelle beruht auf einer fehlenden Berechtigungsprüfung, die es einem Angreifer ermöglicht, mit Zugriff auf die Konfiguration von Inbound-Bindings eine RFC-Destination zu erstellen und dieser einen beliebigen, hochprivilegierten Benutzer zuzuweisen.

Durch diese Manipulation kann der Angreifer Ereignisse über die manipulierte RFC-Destination konsumieren. Dies führt zu einer Quelltextausführung unter Nutzung der Berechtigungen des zugewiesenen hochprivilegierten Benutzers. Obwohl die Auswirkungen auf die Verfügbarkeit gering sind, birgt diese Schwachstelle ein erhebliches Risiko für die Vertraulichkeit und die Integrität der Daten.

READ MORE

11. Score 5.8   (Medium Priority)

Nummer: 3590887

[CVE-2025-31325] Cross-Site-Scripting-Schwachstelle (XSS) in SAP NetWeaver (ABAP-Schlüsselwortdokumentation)

Eine Cross-Site-Scripting (XSS)-Schwachstelle wurde in der ABAP-Schlüsselwortdokumentation von SAP NetWeaver entdeckt. Diese Lücke erlaubt es einem nicht authentifizierten Angreifer, bösartiges JavaScript über einen ungeschützten Parameter in eine Webseite einzuschleusen. Wenn ein Opfer die betroffene Seite aufruft, wird das Skript in dessen Browser ausgeführt. Dies verschafft dem Angreifer begrenzten Zugriff auf geschützte Informationen. Wichtig ist, dass diese Schwachstelle ausschließlich im Browserkontext des Clients existiert und keine Auswirkungen auf die Datenintegrität oder -verfügbarkeit hat.

READ MORE

12. Score 5.8   (Medium Priority)

Nummer: 3585992

[CVE-2025-43008] Fehlende Berechtigungsprüfung in SAP S/4HANA HCM Portugal und SAP ERP HCM Portugal

Eine fehlende Berechtigungsprüfung in einem nicht näher genannten SAP-System ermöglicht es einem nicht autorisierten Benutzer, Dateien anderer Unternehmen einzusehen. Diese Schwachstelle kann zur Offenlegung personenbezogener Daten von Mitarbeitern führen. Es gibt keine Auswirkungen auf die Integrität und Verfügbarkeit der Daten.

Änderungsprotokoll:

v5 (Aktuelle Version) – UPDATE 24. Mai 2025: Dieser Hinweis wurde mit aktualisierten Informationen zur Korrekturanleitung neu veröffentlicht. Falls Sie die Patches bereits eingespielt haben, ist keine erneute Implementierung nötig.

v3 (Initialversion für Kunden freigegeben)

READ MORE

13. Score 5.4  (Medium Priority)

Nummer: 3441087

[CVE-2025-42984] Fehlende Berechtigungsprüfung in SAP S/4HANA (Anwendung „Zentralen Einkaufskontrakt verwalten“)

In der SAP S/4HANA-Anwendung „Zentralen Einkaufskontrakt verwalten“ wurde eine Schwachstelle bei den Berechtigungsprüfungen für authentifizierte Benutzer festgestellt. Diese Lücke ermöglicht es einem Angreifer, den Funktionsimport für die Entität auszuführen, wodurch uneingeschränkten Benutzern der Zugriff verwehrt wird. Die Auswirkungen dieser Schwachstelle auf die Vertraulichkeit und Verfügbarkeit der Anwendung sind gering.

READ MORE

14. Score 5.3   (Medium Priority)

Nummer: 3594258

[CVE-2025-42998] Sicherheitsschwachstelle in SAP Business One Integration Framework aufgrund einer Fehlkonfiguration

Im SAP Business One Integration Framework wurde eine Schwachstelle entdeckt: Die bestehenden Sicherheitseinstellungen werden nicht ausreichend überprüft. Dies ermöglicht es Angreifern, den „403 Forbidden“-Fehler zu umgehen und somit auf eigentlich eingeschränkte Seiten zuzugreifen. Diese Lücke hat lediglich geringe Auswirkungen auf die Vertraulichkeit der Anwendung und beeinträchtigt weder deren Integrität noch die Verfügbarkeit.

READ MORE

15. Score 4.3   (Medium Priority)

Nummer: 3608058

 [CVE-2025-43004] Schwachstelle mit Blick auf falsche Sicherheitskonfiguration in SAP Digital Manufacturing (Production Operator Dashboard)

Die Anwendung „Bankkontenantrag“ in SAP S/4HANA führt nicht die erforderlichen Berechtigungsprüfungen durch. Dies hat zur Folge, dass ein authentifizierter „Genehmigender“ in der Lage ist, Anlagen aus dem Bankkontenantrag eines anderen Benutzers zu löschen. Diese Schwachstelle hat geringe Auswirkungen auf die Integrität der Daten, jedoch keine Auswirkungen auf deren Vertraulichkeit oder die Verfügbarkeit der Anwendung.

READ MORE

16. Score 4.3   (Medium Priority)

Nummer: 3558755

[CVE-2025-42987] Fehlende Berechtigungsprüfung in SAP S/4HANA („Verarbeitungsregeln verwalten – Für Kontoauszüge“)

Die Funktion „Verarbeitungsregeln verwalten – Für Kontoauszüge“ in SAP S/4HANA Finance weist eine Sicherheitslücke auf. Ein Angreifer mit grundlegenden Berechtigungen kann durch Manipulation des Anforderungsparameters geteilte Regeln beliebiger Benutzer bearbeiten. Dies ist die Folge einer fehlenden Berechtigungsprüfung, die es dem Angreifer erlaubt, Regeln zu verändern, auf die der Zugriff eigentlich eingeschränkt sein sollte. Dadurch wird die Integrität der Anwendung beeinträchtigt.

READ MORE

17. Score 4.3   (Medium Priority)

Nummer: 3585545

[CVE-2025-42988] Serverseitige Request-Forgery in SAP-BusinessObjects-Business-Intelligence-Plattform

Unter bestimmten Umständen ermöglicht die SAP BusinessObjects Business Intelligence Plattform einem nicht authentifizierten Angreifer, durch speziell gestaltete HTTP-Anfragen interne HTTP-Endpunkte im Netzwerk aufzulisten. Dieses Informationsleck könnte als Vorstufe für eine Serverseitige Request Forgery (SSRF) genutzt werden. Es ist wichtig zu beachten, dass diese Schwachstelle keine Auswirkungen auf die Integrität oder Verfügbarkeit der Anwendung hat.

READ MORE

18. Score 3.7   (Medium Priority)

Nummer: 3426825

[CVE-2025-23191] Cache-Vergiftung durch Header-Manipulationsschwachstelle in SAP Fiori für SAP ERP

Im SAP Fiori OData-Endpunkt für SAP ERP können Cache-Werte durch Manipulation des Host-Header-Werts in einem HTTP-GET-Request vergiftet werden. Ein Angreifer könnte so die in den zurückgegebenen Metadaten enthaltenen Werte ändern und sie vom SAP-Server auf einen schädlichen, vom Angreifer kontrollierten Link umleiten. Eine erfolgreiche Ausnutzung dieser Schwachstelle kann geringe Auswirkungen auf die Integrität der Anwendung haben.

Änderungsprotokoll:

v11 (aktuelle Version) – UPDATE 27. Mai 2025: Dieser Hinweis wurde mit aktualisierten Informationen zur Korrekturanleitung erneut veröffentlicht.

v9 (Initialversion für Kunden freigegeben)

READ MORE

19. Score 3.7   (Medium Priority)

Nummer: 3601169

[CVE-2025-42990] HTML-Injection in ungeschützten SAPUI5-Anwendungen

Ungeschützte SAPUI5-Anwendungen weisen eine Schwachstelle auf: Ein Angreifer mit grundlegenden Berechtigungen kann schädlichen HTML-Code in eine Webseite einschleusen. Das Ziel ist, Benutzer auf eine vom Angreifer kontrollierte URL umzuleiten. Dieses Problem kann sich auf die Integrität der Anwendung auswirken, hat aber keine Auswirkungen auf die Vertraulichkeit oder Verfügbarkeit.

READ MORE

Wir empfehlen euch dringend, die Patches mit (sehr) hoher und mittlerer Priorität so schnell wie möglich zu installieren. Je schneller ihr reagiert, desto besser schützt ihr eure SAP-Landschaft vor Angriffen.

Veröffentlicht am

Aktuelle Patches

Hier findet ihr eine Übersicht der SAP Security Notes für Mai 2025:

1. Score 10   (Hot News)

Nummer: 3594142

[CVE-2025-31324] Fehlende Berechtigungsprüfung in SAP NetWeaver (Visual Composer Development Server)

Bei SAP NetWeaver Visual Composer weist der Metadaten-Uploader eine fehlende Berechtigungskontrolle auf, was es einem nicht authentifizierten Angreifer ermöglichen kann, ausführbare Binärdateien hochzuladen. Solche Dateien könnten dem Hostsystem erheblichen Schaden zufügen und dabei insbesondere die Vertraulichkeit, Integrität sowie Verfügbarkeit des betroffenen Zielsystems gefährden.

Änderungsprotokoll:

  • v19 (aktuelle Version) – AKTUALISIERUNG vom 13. Mai 2025: Eine zusätzliche Korrekturmaßnahme ist notwendig, um vollständigen Schutz sicherzustellen. Auch wenn der Sicherheitshinweis 3594142 bereits implementiert wurde, sollten Kunden unbedingt auch den Hinweis 3604119 anwenden.

  • v18 (vorherige Version) – AKTUALISIERUNG vom 1. Mai 2025: Dieser Hinweis wurde erneut veröffentlicht und enthält nun erweiterte Informationen im Abschnitt „Support Packages & Patches“. Es wurde eine zusätzliche Korrektur für Support Packages der Versionen SP020 bis SP026 bereitgestellt.

  • v17 (erste für Kunden freigegebene Version)

READ MORE

2. Score 9.9  (Hot News)

Nummer: 3604119

[CVE-2025-42999] Unsichere Deserialisierung in SAP NetWeaver (Visual Composer Development Server)

Eine Sicherheitslücke im Metadaten-Uploader von SAP NetWeaver Visual Composer erlaubt es privilegierten Nutzern, potenziell gefährliche oder nicht vertrauenswürdige Inhalte hochzuladen. Wird dieser Inhalt deserialisiert, kann dies unter Umständen erhebliche Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit des Hostsystems haben.

Hinweis: Kunden, die bereits den Sicherheitshinweis 3594142 umgesetzt haben, sollten zusätzlich auch den hier beschriebenen Hinweis (3604119) berücksichtigen.

READ MORE

3. Score 8.6  (High Priority)

Nummer: 3578900

[CVE-2025-30018] Mehrere Schwachstellen in SAP Supplier Relationship Management (Live Auction Cockpit)

In diesem Sicherheitshinweis werden fünf kritische Schwachstellen in SAP Supplier Relationship Management (SRM) beschrieben. Weitere Details zu den einzelnen Sicherheitslücken sowie die zugehörigen CVE- und CVSS-Informationen finden Sie nachfolgend:

  • Blind XML External Entity (XXE) [CVE-2025-30018]: Das Live Auction Cockpit von SAP SRM enthält eine Schwachstelle, die es einem nicht authentifizierten Angreifer ermöglicht, eine manipulierte XML-Datei zu senden. Dadurch erhält der Angreifer beim Parsen der Datei Zugang zu vertraulichen Systemdateien und Daten. Diese Lücke gefährdet vor allem die Vertraulichkeit, hat jedoch keine Auswirkungen auf die Integrität oder Verfügbarkeit der Anwendung.

    CVSS: 8.6; CVSS:3.0/ AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

  • Reflected-Cross-Site-Scripting (XSS) [CVE-2025-30009]: Eine veraltete Java-Applet-Komponente im Live Auction Cockpit von SAP SRM erlaubt es einem nicht authentifizierten Angreifer, schädlichen JavaScript-Code im Browser des Opfers auszuführen. Dies hat geringe Auswirkungen auf die Vertraulichkeit und Integrität innerhalb des Browsers, jedoch keine auf die Verfügbarkeit der Anwendung.

    CVSS: 6.1; CVSS:3.0/ AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

  • Offene Weiterleitung (Open Redirect) [CVE-2025-30010]: Auch hier führt die veraltete Java-Applet-Komponente dazu, dass ein nicht authentifizierter Angreifer einen Link erstellt, der den Nutzer auf eine schadhafte Website umleitet, wenn er angeklickt wird. Dies hat nur geringe Auswirkungen auf Vertraulichkeit und Integrität, während die Verfügbarkeit der Anwendung nicht beeinträchtigt wird.

    CVSS: 6.1; CVSS:3.0/ AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

  • Offenlegung von Informationen [CVE-2025-30011]: Durch die Nutzung einer veralteten Java-Applet-Komponente im Live Auction Cockpit von SAP SRM könnte ein Angreifer eine bösartige Anfrage senden, die interne Versionsdetails des Systems preisgibt. Diese Schwachstelle betrifft vor allem die Vertraulichkeit, hat jedoch keine Auswirkungen auf die Integrität oder Verfügbarkeit.

    CVSS: 5.3; CVSS:3.0/ AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

  • Unsichere Deserialisierung [CVE-2025-30012]: Ein Angreifer mit hohen Berechtigungen könnte über das Live Auction Cockpit von SAP SRM eine unsichere Deserialisierung von Daten auslösen, indem er eine bösartige Payload-Anforderung sendet. Diese Schwachstelle hat geringe Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung.

    CVSS: 3.9; CVSS:3.0/ AV:A/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:L

READ MORE

4. Score 8.3   (High priority)

Nummer: 3600859

[CVE-2025-43010] Code-Injection-Schwachstelle in SAP S/4HANA Cloud Private Edition oder On-Premise (SCM Master Data Layer (MDL))

In SAP S/4HANA Cloud Private Edition sowie der On-Premise-Version (SCM Master Data Layer, MDL) besteht eine Sicherheitslücke, die es einem authentifizierten Angreifer mit SAP-Standardberechtigungen ermöglicht, einen spezifischen Funktionsbaustein aus der Ferne auszuführen. Auf diese Weise könnte er beliebige ABAP-Programme, einschließlich der SAP-Standardprogramme, überschreiben. Das Problem resultiert aus fehlender Eingabevalidierung und unzureichenden Berechtigungsprüfungen. Diese Schwachstelle hat nur geringe Auswirkungen auf die Vertraulichkeit, beeinträchtigt jedoch die Integrität und Verfügbarkeit der Anwendung erheblich.

READ MORE

5. Score 7.9   (High priority)

Nummer: 3586013

[CVE-2025-43000] Schwachstelle mit Blick auf Offenlegung von Informationen in SAP-BusinessObjects-Business-Intelligence-Plattform (Hochstufungsverwaltungs-Assistent)

Unter bestimmten Umständen ermöglicht der Hochstufungsverwaltungs-Assistent einem Angreifer den Zugriff auf Informationen, der normalerweise eingeschränkt wäre. Diese Schwachstelle hat nur minimale Auswirkungen auf die Vertraulichkeit, beeinträchtigt jedoch weder die Integrität noch die Verfügbarkeit der Anwendung.

READ MORE

6. Score 7.7   (High Priority)

Nummer: 3590984

[CVE-2024-39592] Fehlende Berechtigungsprüfung in SAP PDCE

In SAP PDCE fehlen bei bestimmten Elementen die erforderlichen Berechtigungsprüfungen für authentifizierte Benutzer, was zu einer möglichen Rechteausweitung führt.

Dies ermöglicht einem Angreifer den Zugriff auf vertrauliche Informationen, was erhebliche Auswirkungen auf die Vertraulichkeit der Anwendung hat.

Änderungsprotokoll:

  • v19 (aktuelle Version) – UPDATE vom 13. Mai 2025: Der SAP-Hinweis wurde mit neuen Informationen zur Korrektur freigegeben. SAP hat Korrekturen für SEM-BW 600 SP01 bis SP015 bereitgestellt, wodurch aufwendige vorausgesetzte SAP-Hinweise vermieden werden können.

  • v15 (vorherige Version) – UPDATE vom 11. März 2025: Dieser SAP-Hinweis wurde mit aktualisierten Korrekturanleitungsinformationen erneut veröffentlicht. SAP hat die Korrekturen für SEM-BW 602, 603 und 604 bereitgestellt, um komplexe vorausgesetzte SAP-Hinweise zu umgehen.

  • v11 (vorherige Version) – UPDATE vom 12. November 2024: Dieser SAP-Hinweis wurde mit aktualisierten Korrekturanleitungsinformationen veröffentlicht. SAP hat die Korrekturen für SEM-BW 600 bereitgestellt.

  • v9 (vorherige Version) – UPDATE vom 25. September 2024: Der SAP-Hinweis wurde mit neuen Korrekturanleitungsinformationen freigegeben. SAP hat Korrekturen für SEM-BW 602 bis SEM-BW 748 bereitgestellt.

  • v7 (erste Version freigegeben)

READ MORE

7. Score 7.7   (High Priority)

Nummer: 3591978

[CVE-2025-43011] Fehlende Berechtigungsprüfungen in SAP Landscape Transformation (PCL Basis)

Das PCL-Basis-Modul von SAP Landscape Transformation führt unter bestimmten Umständen keine erforderlichen Berechtigungsprüfungen durch, wodurch authentifizierte Benutzer unberechtigten Zugriff auf eingeschränkte Funktionen oder Daten erhalten können. Diese Schwachstelle kann erhebliche Auswirkungen auf die Vertraulichkeit der Anwendung haben, hat jedoch keinen Einfluss auf deren Integrität oder Verfügbarkeit.

READ MORE

8. Score 6.6   (High Priority)

Nummer: 3577300

[CVE-2025-42997] Offenlegung von Informationen in SAP Gateway Client

Der SAP Gateway Client erlaubt es unter bestimmten Bedingungen einem Benutzer mit erweiterten Berechtigungen, auf Informationen zuzugreifen, die normalerweise außerhalb des Anwendungsumfangs liegen. Durch den möglichen Missbrauch der offengelegten Daten, der das Anwendungsverhalten oder die Performance beeinflussen könnte, entstehen geringfügige Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit.

READ MORE

9. Score 6.4   (Medium Priority)

Nummer: 3596033

[CVE-2025-43003] Schwachstelle bezüglich der Offenlegung von Informationen in SAP S/4HANA (Private Cloud und On-Premise)

Ein authentifizierter Angreifer mit fundiertem Wissen über die Anwendung kann in SAP S/4HANA ein Feld konfigurieren, auf das er normalerweise keinen Zugriff haben sollte, und ein benutzerdefiniertes UI-Layout erstellen, das dieses Feld anzeigt. Durch die Ausführung dieses Vorgangs könnte der Angreifer Zugang zu hochsensiblen Informationen erlangen. Dies hat erhebliche Auswirkungen auf die Vertraulichkeit, während die Integrität und Verfügbarkeit der Anwendung nur geringfügig betroffen sind.

READ MORE

10. Score 6.3   (Medium Priority)

Nummer: 3571093

[CVE-2025-43007] Fehlende Berechtigungsprüfung im Ersatzteilmanagement (SPM)

Das Ersatzteilmanagement (SPM) führt für einen authentifizierten Benutzer nicht die erforderlichen Berechtigungsprüfungen durch, sodass ein Angreifer Berechtigungen eskalieren kann. Dies wirkt sich in geringem Maße auf die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung aus.

READ MORE

11. Score 6.3   (Medium Priority)

Nummer: 2491817

[CVE-2025-43009] Fehlende Berechtigungsprüfung im Ersatzteilmanagement (SPM)

Im Ersatzteilmanagement (SPM) werden die notwendigen Berechtigungsprüfungen für authentifizierte Benutzer nicht durchgeführt, wodurch ein Angreifer Berechtigungen eskalieren und erweiterten Zugriff erlangen kann. Dies hat nur geringe Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung.

READ MORE

12. Score 6.2   (Medium Priority)

Nummer: 3577287

[CVE-2025-31329] Schwachstelle bezüglich der Offenlegung von Informationen in SAP NetWeaver Application Server ABAP und ABAP-Plattform

SAP NetWeaver weist eine Schwachstelle auf, die zu einer Offenlegung von Informationen führt. Diese wird durch das Einschleusen schadhafter Anweisungen in die Benutzerkonfigurationseinstellungen verursacht. Ein Angreifer mit Administratorrechten kann diese Anweisungen so manipulieren, dass beim Zugriff durch das Opfer sensible Informationen, wie etwa Benutzeranmeldedaten, offengelegt werden. Diese Anmeldeinformationen könnten dann für unbefugten Zugriff auf lokale oder benachbarte Systeme genutzt werden. Dies hat erhebliche Auswirkungen auf die Vertraulichkeit, jedoch keine wesentlichen Auswirkungen auf die Integrität oder Verfügbarkeit.

READ MORE

13. Score 6.1   (Medium Priority)

Nummer: 3588455

[CVE-2025-43006] Cross-Site-Scripting-(XXS-)Schwachstelle in SAP Supplier Relationship Management (Stammdatenmanagementkatalog)

Im SAP Supplier Relationship Management (Stammdatenmanagementkatalog) besteht die Möglichkeit für einen nicht authentifizierten Angreifer, schadhafter JavaScript-Code in der Anwendung auszuführen, was zu einer Cross-Site-Scripting-(XSS)-Schwachstelle führen könnte. Diese Lücke beeinträchtigt die Verfügbarkeit der Anwendung nicht, hat jedoch minimale Auswirkungen auf die Vertraulichkeit und Integrität.

READ MORE

14. Score 5.8   (Medium Priority)

Nummer: 3585992

[CVE-2025-43008] Fehlende Berechtigungsprüfung in SAP S/4HANA HCM Portugal und SAP ERP HCM Portugal

Wegen einer fehlenden Berechtigungsprüfung könnte ein nicht autorisierter Benutzer auf die Dateien eines anderen Unternehmens zugreifen. Dies würde die Offenlegung personenbezogener Mitarbeiterdaten zur Folge haben. Auswirkungen auf die Integrität und Verfügbarkeit gibt es jedoch keine.

READ MORE

15. Score 5.3   (Medium Priority)

Nummer: 3571096

 [CVE-2025-43004] Schwachstelle mit Blick auf falsche Sicherheitskonfiguration in SAP Digital Manufacturing (Production Operator Dashboard)

Wegen einer fehlerhaften Sicherheitskonfiguration besteht die Möglichkeit, dass Kunden Production Operator Dashboards (PODs) erstellen, die es externen Benutzern erlauben, auf Kundendaten zuzugreifen. Da es an Mechanismen zur Erzwingung der Authentifizierung fehlt, können unautorisierte, böswillige Benutzer sensible Kundeninformationen einsehen. Allerdings hat dies keinerlei Auswirkungen auf die Integrität oder Verfügbarkeit der Daten.

READ MORE

16. Score 4.4   (Medium Priority)

Nummer: 3558755

[CVE-2025-26662] Cross-Site-Scripting-(XSS)-Schwachstelle in Management Console von SAP Data Services

In der Management Console von SAP Data Services werden benutzergesteuerte Eingaben nicht ausreichend kodiert, was es einem Angreifer ermöglicht, schadhafter Code einzuschleusen. Wenn ein gezieltes, bereits angemeldetes Opfer auf den manipulierten Link klickt, wird das injizierte Skript im Browser des Opfers ausgeführt. Dies könnte Auswirkungen auf die Vertraulichkeit und Integrität haben, wobei die Verfügbarkeit nicht betroffen ist.

READ MORE

17. Score 4.3   (Medium Priority)

Nummer: 3574520

[CVE-2025-43005] Schwachstelle bezüglich der Offenlegung von Informationen in SAP GUI for Windows

Ein nicht authentifizierter Angreifer kann in SAP GUI for Windows unsichere Verschleierungsalgorithmen ausnutzen, die von der GuiXT-Anwendung zum Speichern von Benutzeranmeldeinformationen verwendet werden. Dieses Problem hat keine Auswirkungen auf die Integrität oder Verfügbarkeit der Anwendung, könnte jedoch geringe Auswirkungen auf die Vertraulichkeit der Daten haben.

READ MORE

18. Score 4.3   (Medium Priority)

Nummer: 3227940

[CVE-2025-43002] Fehlende Berechtigungsprüfung in SAP S4/HANA (OData-Metadateneigenschaft)

Durch die OData-Metadateneigenschaft von SAP S4CORE kann ein authentifizierter Angreifer aufgrund einer fehlenden Berechtigungsprüfung auf eingeschränkte Informationen zugreifen. Dies hat nur geringe Auswirkungen auf die Vertraulichkeit der Anwendung, während Integrität und Verfügbarkeit der Anwendung unbeeinträchtigt bleiben.

READ MORE

Wir empfehlen euch dringend, die Patches mit (sehr) hoher und mittlerer Priorität so schnell wie möglich zu installieren. Je schneller ihr reagiert, desto besser schützt ihr eure SAP-Landschaft vor Angriffen.

Veröffentlicht am

Nachtrag zu den Patches April `25

´SAP hat eine wichtige Ergänzung zu den Security Notes vom April 2025 herausgebracht:

1. Score 10   (Hot News)

Nummer: 3594142

[CVE-2025-31324] Fehlende Berechtigungsprüfung in SAP NetWeaver (Visual Composer Development Server)

Im SAP NetWeaver Visual Composer ist der Metadaten-Uploader nicht ausreichend durch Berechtigungen abgesichert. Dadurch kann ein nicht authentifizierter Akteur potenziell schädliche ausführbare Binärdateien hochladen, die das Hostsystem gravierend beeinträchtigen könnten. Dies stellt eine erhebliche Gefährdung der Vertraulichkeit, Integrität und Verfügbarkeit des Zielsystems dar.

READ MORE

2. Score 9.9   (Hot News)

Nummer: 3587115

[CVE-2025-31330] Code-Injection-Schwachstelle in SAP Landscape Transformation (Analyseplattform)

SAP Landscape Transformation (SLT) weist eine Schwachstelle im über RFC erreichbaren Funktionsbaustein auf, die von einem Angreifer mit entsprechenden Benutzerberechtigungen ausgenutzt werden kann. Dadurch ist es möglich, beliebigen ABAP-Code in das System einzuschleusen und wesentliche Berechtigungsprüfungen zu umgehen. Diese Sicherheitslücke wirkt faktisch wie eine Hintertür und birgt das Risiko eines vollständigen Systemkompromisses, wodurch die Vertraulichkeit, Integrität und Verfügbarkeit des Systems erheblich gefährdet werden.

Änderungsprotokoll:

  • v9 (aktuelle Version) – Aktualisiert am 22. April 2025: Der Hinweis wurde mit aktualisierten Informationen zur Korrekturanleitung erneut veröffentlicht. Korrekturen für DMIS 2018 und DMIS 2020 sind nun verfügbar.

  • v7 (Vorversion) – Aktualisiert am 14. April 2025: Aktualisierte Informationen zur Korrekturanleitung hinzugefügt.

  • v5 (Initialversion) – Erste Veröffentlichung für Kunden.

READ MORE

3. Score 9.9   (Hot News)

Nummer: 3581961

[CVE-2025-27429] Code-Injection-Schwachstelle in SAP S/4HANA (Private Cloud oder On-Premise)

SAP S/4HANA enthält eine Schwachstelle in einem über RFC exponierten Funktionsbaustein, die von einem Angreifer mit Benutzerberechtigungen ausgenutzt werden kann. Dadurch besteht die Möglichkeit, beliebigen ABAP-Code in das System einzuschleusen und grundlegende Berechtigungsprüfungen zu umgehen. Diese Sicherheitslücke fungiert praktisch als Hintertür und birgt das Risiko einer vollständigen Kompromittierung des Systems, wodurch die Vertraulichkeit, Integrität und Verfügbarkeit erheblich beeinträchtigt werden können.

Änderungsprotokoll:

  • v4 (aktuelle Version) – Aktualisiert am 14. April 2025: Der SAP-Hinweis wurde mit überarbeiteten Informationen zur Gültigkeit erneut veröffentlicht.

  • v3 (Initialversion) – Erste Freigabe für Kunden.

READ MORE

4. Score 4.6   (Medium Priority)

Nummer: 3446649

[CVE-2025-31328] Cross-Site-Request-Forgery-Schwachstelle (CSRF) in SAP S/4HANA (Learning Solution)

SAP Learning Solution weist eine Anfälligkeit für Cross-Site Request Forgery (CSRF) auf, durch die ein Angreifer authentifizierte Benutzer dazu verleiten kann, unbeabsichtigte Anfragen an den Server zu senden. Dabei ist insbesondere die GET-basierte OData-Funktion betroffen, deren Benennung das erwartete Verhalten unterläuft. Diese Schwachstelle kann die Vertraulichkeit und Integrität der Anwendung beeinträchtigen, ohne Auswirkungen auf deren Verfügbarkeit zu haben.

READ MORE

5. Score 4.3   (Medium Priority)

Nummer: 3446649

 [CVE-2025-31327] OData-Metadateneigenschafts-Entitätsmanipulation in SAP Field Logistics

Die OData-Metadateneigenschaft der Anwendung „Logistik verwalten“ in SAP Field Logistics ist anfällig für Datenmanipulation. Dadurch können bestimmte Felder von einem externen Angreifer verändert werden, was eine geringe Beeinträchtigung der Integrität der Anwendung zur Folge hat. Die Vertraulichkeit und Verfügbarkeit bleiben davon unberührt.

Hinweis:

WARNUNG: Dies ist ein CA-FL-spezifischer Hinweis (Field Logistics). Wenn Feldlogistik in Ihrem System nicht aktiviert ist, ist dieser Hinweis für Sie nicht relevant.

READ MORE

Wir empfehlen euch dringend, die Patches mit (sehr) hoher und mittlerer Priorität so schnell wie möglich zu installieren. Je schneller ihr reagiert, desto besser schützt ihr eure SAP-Landschaft vor Angriffen.

Veröffentlicht am

Aktuelle Patches

Hier findet ihr eine Übersicht der SAP Security Notes für April 2025:

1. Score 9.9   (Hot News)

Nummer: 3581961

[CVE-2025-30016] Schwachstelle bezüglich Authentifizierungsumgehung in SAP Financial Consolidation

Durch eine Schwachstelle im über RFC zugänglichen Funktionsbaustein kann ein Angreifer mit entsprechenden Benutzerrechten SAP S/4HANA kompromittieren. Die Lücke erlaubt es, beliebigen ABAP-Code in das System einzuschleusen und dabei zentrale Berechtigungsprüfungen zu umgehen. Diese Sicherheitslücke stellt eine potenzielle Hintertür dar, über die ein vollständiger Systemkompromiss möglich ist – mit gravierenden Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit des Systems.

READ MORE

2. Score 9.9  (Hot News)

Nummer: 3587115

[CVE-2025-31330] Code-Injection-Schwachstelle in SAP Landscape Transformation (Analysis Platform)

Ein Angreifer mit entsprechenden Benutzerrechten kann über die SAP Landscape Transformation (SLT) eine Schwachstelle im Funktionsbaustein, der über RFC exponiert ist, ausnutzen. Dadurch ist es möglich, beliebigen ABAP-Code in das System einzuschleusen, wobei wichtige Berechtigungsprüfungen umgangen werden. Diese Sicherheitslücke wirkt wie eine Hintertür und stellt eine Gefahr für den gesamten Systembetrieb dar, da sie das Risiko eines vollständigen Systemkompromisses mit sich bringt und die Vertraulichkeit, Integrität sowie Verfügbarkeit des Systems gefährdet.

READ MORE

3. Score 9.8  (Hot News)

Nummer: 3572688

[CVE-2025-30016] Schwachstelle bezüglich Authentifizierungsumgehung in SAP Financial Consolidation

Durch unsachgemäße Authentifizierungsmechanismen in SAP Financial Consolidation kann ein nicht authentifizierter Angreifer unbefugten Zugriff auf das Administratorkonto erlangen. Diese Schwachstelle hat erhebliche Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung.

READ MORE

4. Score 8.8   (High priority)

Nummer: 3525794

[CVE-2025-0064] Falsche Berechtigung in SAP-BusinessObjects-Business-Intelligence-Plattform

Ein Angreifer mit gültigen Benutzerrechten kann unter bestimmten Voraussetzungen die SAP BusinessObjects Business Intelligence Plattform ausnutzen, um eine geheime Kennphrase zu erstellen oder auszulesen. Dadurch ist es ihm möglich, sich über lokalen Zugriff auf das Zielsystem als beliebiger Benutzer auszugeben. Diese Schwachstelle kann die Vertraulichkeit sowie die Integrität der Anwendung erheblich gefährden.

Änderungsprotokoll:

v9 (aktuelle Version) – UPDATE vom 8. April 2025: Der SAP-Hinweis wurde erneut veröffentlicht. Dabei wurden kleinere Anpassungen an den Abschnitten „Symptom“ und „Lösung“ vorgenommen; auch die CVSS-Vektoren erhielten ein Update.

v6 (freigegebene Erstversion für Kunden)

READ MORE

5. Score 8.5   (High priority)

Nummer: 3554667

[CVE-2025-23186] Schwachstelle mit Blick auf gemischte dynamische RFC-Destinationen über Remote Function Call (RFC) in SAP NetWeaver Application Server ABAP

SAP NetWeaver Application Server ABAP weist unter bestimmten Voraussetzungen eine Schwachstelle auf, die es einem authentifizierten Angreifer erlaubt, einen Remote Function Call (RFC) an geschützte Zielsysteme zu senden. Dabei können Anmeldeinformationen für einen Remote-Service übermittelt werden. Diese Informationen lassen sich anschließend missbrauchen, um den betreffenden Remote-Service vollständig zu kompromittieren – mit potenziell gravierenden Folgen für Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung.

READ MORE

6. Score 8.1   (High Priority)

Nummer: 3590984

[CVE-2024-56337] Time-of-Check Time-of-Use (TOCTOU) Race Condition Schwachstelle in Apache Tomcat in SAP Commerce Cloud

In SAP Commerce Cloud kommt eine Apache-Tomcat-Version zum Einsatz, die von einer TOCTOU-Race-Condition betroffen ist (CVE-2024-56337).

Ein nicht authentifizierter Angreifer kann diese Schwachstelle unter bestimmten Voraussetzungen ausnutzen. Bei erfolgreicher Ausnutzung besteht das Risiko einer vollständigen Beeinträchtigung der Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems. Der Angriffserfolg hängt jedoch von einer spezifischen Serverkonfiguration ab, die sich der Kontrolle des Angreifers entzieht – ein unmittelbarer Angriff auf SAP Commerce ist daher nicht ohne Weiteres möglich.

READ MORE

7. Score 7.7   (High Priority)

Nummer: 3581811

 [CVE-2025-27428] Directory-Traversal-Schwachstelle in SAP NetWeaver und ABAP-Plattform (Servicedatensammlung)

Durch eine Directory-Traversal-Schwachstelle innerhalb eines RFC-fähigen Funktionsbausteins ist es einem autorisierten Angreifer möglich, auf sensible Informationen zuzugreifen. Gelingt der Angriff, kann der Angreifer Dateien aus beliebigen, mit dem SAP Solution Manager verbundenen Systemen auslesen. Dies stellt ein erhebliches Risiko für die Vertraulichkeit dar. Die Integrität und Verfügbarkeit der Systeme bleiben dabei jedoch unbeeinträchtigt.

READ MORE

8. Score 7.7   (High Priority)

Nummer: 2927164

[CVE-2025-30014] Directory-Traversal-Schwachstelle in SAP Capital Yield Tax Management

Aufgrund mangelnder Pfadvalidierung besteht in SAP Capital Yield Tax Management eine Directory-Traversal-Schwachstelle. Ein Angreifer mit nur eingeschränkten Rechten kann dadurch unter Umständen Dateien auslesen, die sich außerhalb seines eigentlichen Zugriffsbereichs befinden. Diese Sicherheitslücke gefährdet in erheblichem Maß die Vertraulichkeit der Daten, während Integrität und Verfügbarkeit unberührt bleiben.

READ MORE

9. Score 6.8   (Medium Priority)

Nummer: 3543274

[CVE-2025-26654] Potenzielle Schwachstelle bei Offenlegung von Informationen in SAP Commerce Cloud (Public Cloud)

In der Public-Cloud-Variante von SAP Commerce Cloud ist es nicht möglich, unverschlüsselten HTTP-Verkehr (Port 80) vollständig zu deaktivieren. Stattdessen wird eine automatische Weiterleitung von HTTP (Port 80) auf HTTPS (Port 443) vorgenommen, wodurch die Kommunikation in der Regel über eine sichere Verbindung erfolgt. Dennoch kann die Vertraulichkeit und Integrität sensibler Daten gefährdet sein – insbesondere dann, wenn der Client so konfiguriert ist, dass er initial über HTTP kommuniziert und bereits mit der ersten Anfrage vertrauliche Informationen überträgt, bevor die Umleitung greift.

READ MORE

10. Score 6.7   (Medium Priority)

Nummer: 3571093

[CVE-2025-30013] Code-Injection-Schwachstelle in SAP ERP BW Business Content

Bestimmte Funktionsbausteine in SAP ERP BW Business Content weisen eine Schwachstelle auf, die die Einschleusung von Betriebssystembefehlen (BS-Befehlen) ermöglicht. Werden diese Bausteine mit erweiterten Berechtigungen ausgeführt, erfolgt keine ausreichende Validierung der Benutzereingaben. Dadurch kann ein Angreifer durch lokalen Zugriff auf das Zielsystem beliebige OS-Befehle einschleusen. Dies kann zur Ausführung unerwünschter Kommandos im zugrunde liegenden System führen und stellt ein ernstzunehmendes Risiko für Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung dar.

READ MORE

11. Score 6.6   (Medium Priority)

Nummer: 3565751

[CVE-2025-31332] Schwachstelle mit Blick auf unsicheren Dateiberechtigungen in SAP-BusinessObjects-Business-Intelligence-Plattform

In der SAP BusinessObjects Business Intelligence Plattform können unsichere Dateiberechtigungen dazu führen, dass ein Angreifer mit lokalem Zugriff Systemdateien manipuliert. Solche Änderungen könnten zu Betriebsstörungen oder Ausfällen von Diensten führen, was erhebliche Auswirkungen auf die Integrität und Verfügbarkeit des Systems haben kann. Die Vertraulichkeit bleibt in diesem Fall jedoch gewahrt, da keine sensiblen Informationen offengelegt werden.

READ MORE

12. Score 5.3   (Medium Priority)

Nummer: 3568307

[CVE-2025-26657] Schwachstelle mit Blick auf Offenlegung von Informationen in SAP KMC WPC

Durch eine einfache Parameterabfrage kann ein nicht authentifizierter Angreifer in SAP KMC WPC remote auf Benutzernamen zugreifen. Dies führt zur Offenlegung sensibler Informationen und stellt ein geringfügiges Risiko für die Vertraulichkeit der Anwendung dar. Die Integrität und Verfügbarkeit bleiben von dieser Schwachstelle unberührt.

READ MORE

13. Score 4.7   (Medium Priority)

Nummer: 3559307

[CVE-2025-26653] Cross-Site-Scripting-Schwachstelle (XSS) in SAP NetWeaver Application Server ABAP (Anwendungen auf der Basis von SAP GUI for HTML)

In SAP NetWeaver Application Server ABAP werden benutzergesteuerte Eingaben nicht ausreichend codiert, was eine Cross-Site-Scripting-Schwachstelle (XSS) zur Folge hat. Ein Angreifer kann dadurch, auch ohne spezielle Berechtigungen, schädlichen JavaScript-Code in eine Webseite einschleusen. Sobald ein Nutzer die manipulierte Seite aufruft, wird das Skript im Kontext des Benutzerbrowsers ausgeführt – was potenziell die Vertraulichkeit und Integrität der Sitzung beeinträchtigen kann. Die Verfügbarkeit des Systems bleibt davon unberührt.

READ MORE

14. Score 4.4   (Medium Priority)

Nummer: 3558864

[CVE-2025-30017] Fehlende Berechtigungsprüfung in SAP Solution Manager

SAP Solution Manager 7.1 weist eine fehlende Berechtigungsprüfung auf, die es einem authentifizierten Angreifer erlaubt, eine Datei als Vorlage in der Lösungsdokumentation hochzuladen. Wird diese Schwachstelle ausgenutzt, kann der Angreifer die Integrität und Verfügbarkeit der Anwendung in begrenztem Umfang beeinflussen.

READ MORE

15. Score 4.3   (Medium Priority)

Nummer: 3525971

[CVE-2025-31333] OData-Metadatenmanipulation in SAP-S4CORE-Entität

Die OData-Metadateneigenschaft in SAP S4CORE ist anfällig für Manipulation, wodurch ein externer Angreifer Änderungen an der Entitätsmenge vornehmen kann. Diese Schwachstelle beeinträchtigt in geringem Maße die Integrität der Anwendung. Vertraulichkeit und Verfügbarkeit bleiben dabei unangetastet.

READ MORE

16. Score 4.3   (Medium Priority)

Nummer: 3557131

[CVE-2025-23188] Fehlende Berechtigungsprüfung in SAP S/4HANA (RBD)

Durch das Ausnutzen einer fehlenden Berechtigungsprüfung in einem IBS-Modul von FS-RBD kann ein authentifizierter Benutzer mit geringen Berechtigungen unautorisierten Zugriff auf Aktionen erlangen, die über die vorgesehenen Berechtigungen hinausgehen. Diese Schwachstelle hat nur geringe Auswirkungen auf die Integrität der Anwendung, ohne jedoch die Vertraulichkeit oder Verfügbarkeit zu beeinträchtigen.

READ MORE

17. Score 4.3   (Medium Priority)

Nummer: 3568778

[CVE-2025-27437] Fehlende Berechtigungsprüfung in SAP NetWeaver Application Server ABAP (Virenprüfungsschnittstelle)

In der Virenprüfungsschnittstelle von SAP NetWeaver Application Server ABAP fehlt eine notwendige Berechtigungsprüfung. Dadurch ist es einem authentifizierten, jedoch nicht administrativen Benutzer möglich, eine bestimmte Transaktion zu starten. Infolge dessen kann er auf nicht sensible Daten zugreifen – ohne zusätzliche Berechtigungen und ohne die Verfügbarkeit des Systems zu beeinträchtigen. Eine Änderung der Daten ist jedoch nicht möglich.

READ MORE

18. Score 4.2   (Medium Priority)

Nummer: 3539465

[CVE-2025-27435] Schwachstelle im Hinblick auf das Offenlegen von Informationen in SAP Commerce Cloud

In SAP Commerce können unter bestimmten Umständen Coupon-Codes von Kunden über URL-Parameter innerhalb einer Kampagnen-URL ungeschützt offengelegt werden. Ein nicht authentifizierter Angreifer könnte auf diese Weise Zugang zu solchen Codes erhalten und sie missbräuchlich verwenden. Dies beeinträchtigt in geringem Maße sowohl die Vertraulichkeit als auch die Integrität der Anwendung.

READ MORE

19. Score 4.1   (Medium Priority)

Nummer: 3565944

[CVE-2025-30015] Speicherbeschädigungsschwachstelle in SAP NetWeaver und ABAP-Plattform (Application Server ABAP)

Eine fehlerhafte Behandlung von Speicheradressen in ABAP SQL innerhalb von SAP NetWeaver und der ABAP-Plattform (Application Server ABAP) ermöglicht es einem autorisierten Angreifer mit weitreichenden Rechten, bestimmte Arten von SQL-Abfragen durchzuführen. Dabei kann der Inhalt der Ausgabevariable manipuliert werden. Diese Schwachstelle hat eine geringe Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung.

READ MORE

Wir empfehlen euch dringend, die Patches mit (sehr) hoher und mittlerer Priorität so schnell wie möglich zu installieren. Je schneller ihr reagiert, desto besser schützt ihr eure SAP-Landschaft vor Angriffen.

Veröffentlicht am

Aktuelle Patches

Hier findet ihr eine Übersicht der SAP Security Notes für März 2025:

1. Score 8.8  (High Priority)

Nummer: 3569602

[CVE-2025-27434] Cross-Site-Scripting-Schwachstelle (XSS) in SAP Commerce (Swagger-UI)

Durch eine unzureichende Validierung der Eingaben besteht in SAP Commerce (Swagger-UI) die Möglichkeit für einen nicht authentifizierten Angreifer, schädlichen Code aus entfernten Quellen einzuschleusen. Dieser kann dann für einen Cross-Site-Scripting-Angriff (XSS) genutzt werden, was schwerwiegende Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der Daten innerhalb von SAP Commerce haben kann.

READ MORE

2. Score 8.8  (High Priority)

Nummer: 3563927

[CVE-2025-26661] Fehlende Berechtigungsprüfung in SAP NetWeaver (ABAP Class Builder)

In SAP NetWeaver (ABAP Class Builder) fehlt eine notwendige Berechtigungsprüfung, die es einem Angreifer ermöglicht, unrechtmäßig höhere Zugriffsebenen zu erlangen. Dies kann zu einer unautorisierten Erweiterung der Rechte führen. Sollte dieser Angriff erfolgreich sein, könnte er die Offenlegung sensibler Daten zur Folge haben und die Integrität sowie Verfügbarkeit der Anwendung erheblich beeinträchtigen.

READ MORE

3. Score 8.6   (High priority)

Nummer: 3566851

[CVE-2024-38286] Mehrere Schwachstellen in Apache Tomcat in SAP Commerce Cloud

Die verwendete Version von Apache Tomcat in SAP Commerce Cloud könnte anfällig für DOS-Angriffe (CVE-2024-38286) sowie für ungeprüfte Fehlerbedingungen (CVE-2024-52316) sein. Damit diese Schwachstellen ausgenutzt werden können, müssen jedoch zunächst die in den CVEs beschriebenen Voraussetzungen erfüllt sein.

READ MORE

4. Score 6.8   (Medium priority)

Nummer: 3567974

[CVE-2025-26658] Fehlerhafte Authentifizierung in SAP Business One (Serviceschicht)

In der Serviceschicht von SAP Business One besteht die Möglichkeit für Angreifer, unberechtigten Zugang zu erlangen und sich als andere Benutzer auszugeben, um unautorisierte Aktionen durchzuführen. Durch ein missbräuchliches Session-Management könnten Angreifer ihre Berechtigungen erhöhen und damit Daten lesen, ändern oder schreiben. Obwohl es viel Zeit und Mühe erfordert, Zugriff auf authentifizierte Sitzungen anderer Benutzer zu erlangen, hat diese Schwachstelle erhebliche Auswirkungen auf die Vertraulichkeit und Integrität der Anwendung, während die Verfügbarkeit der Anwendung nicht betroffen ist.

READ MORE

5. Score 6.1   (Medium priority)

Nummer: 3552824

[CVE-2025-26659] Cross-Site-Scripting-Schwachstelle (XSS) in SAP NetWeaver Application Server ABAP (Anwendungen auf der Basis von SAP GUI for HTML)

In SAP NetWeaver Application Server ABAP werden benutzergenerierte Eingaben nicht ausreichend kodiert, was zu einer DOM-basierten Cross-Site-Scripting-Schwachstelle führt. Ein Angreifer kann so ohne Berechtigungen eine schadhafte Web-Nachricht erzeugen, die SAP-GUI-Funktionen ausnutzt. Bei erfolgreichem Angriff wird die schadhafte JavaScript-Payload im Browser des Opfers ausgeführt, wodurch möglicherweise ihre Daten gefährdet und/oder die Inhalte des Browsers verändert werden. Diese Schwachstelle hat nur begrenzte Auswirkungen auf die Vertraulichkeit und Integrität, während die Verfügbarkeit nicht beeinträchtigt wird.

READ MORE

6. Score 6.1   (Medium Priority)

Nummer: 3562390

[CVE-2025-25242] Cross-Site-Scripting-Schwachstelle (XSS) in SAP NetWeaver Application Server ABAP

Durch SAP NetWeaver Application Server ABAP kann die Ausführung schadhafter Skripte innerhalb der Anwendung ermöglicht werden, was zu einer möglichen Cross-Site-Scripting-Schwachstelle (XSS) führt. Obwohl diese Schwachstelle keine Auswirkungen auf die Verfügbarkeit der Anwendung hat, könnte sie geringfügige Auswirkungen auf die Vertraulichkeit und Integrität haben.

READ MORE

7. Score 5.7   (Medium Priority)

Nummer: 3552144

[CVE-2025-25244] Fehlende Berechtigungsprüfung in SAP Business Warehouse (Prozessketten)

In SAP Business Warehouse (Prozessketten) besteht aufgrund einer fehlenden Berechtigungsprüfung die Möglichkeit für einen Angreifer, die Ausführung von Prozessen zu manipulieren. Ein Angreifer, der über Anzeigeberechtigungen für das Prozesskettenobjekt verfügt, könnte einen oder alle Prozesse zum Überspringen festlegen. Dadurch werden Aktivitäten wie das Laden, Aktivieren oder Löschen von Daten möglicherweise nicht wie ursprünglich vorgesehen ausgeführt. Dies kann zu unerwarteten Ergebnissen im Geschäftsberichtswesen führen und die Integrität erheblich beeinträchtigen, ohne jedoch die Vertraulichkeit oder Verfügbarkeit zu beeinflussen.

READ MORE

8. Score 5.4   (Medium Priority)

Nummer: 3557469

[CVE-2025-25245] Cross-Site-Scripting-Schwachstelle (XSS) in SAP-BusinessObjects-Business-Intelligence-Plattform (Web Intelligence)

In der SAP BusinessObjects Business Intelligence-Plattform (Web Intelligence) existiert ein veralteter Webanwendungsendpunkt, der nicht ausreichend abgesichert ist. Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er eine schadhafte URL in die Daten einfügt, die dann an den Benutzer zurückgegeben werden. Sollte der Angriff erfolgreich sein, könnten im Browser des Opfers begrenzte Auswirkungen auf die Vertraulichkeit und Integrität auftreten, wobei die Verfügbarkeit nicht betroffen ist.

READ MORE

9. Score 5.4   (Medium Priority)

Nummer: 3567246

[CVE-2025-27431] Cross-Site-Scripting-Schwachstelle (XSS) in SAP NetWeaver Application Server Java

Die Benutzerverwaltungsfunktion im SAP NetWeaver Application Server Java weist eine Schwachstelle für Stored Cross-Site Scripting (XSS) auf. Ein Angreifer kann schadhafte Payload einschleusen, die gespeichert und bei einem späteren Zugriff des Benutzers auf die Funktion ausgeführt wird. Dies könnte zur Offenlegung von Informationen oder zu unautorisierten Änderungen von Daten im Browser des Opfers führen, wobei die Verfügbarkeit nicht betroffen ist.

READ MORE

10. Score 5.3   (Medium Priority)

Nummer: 3561792

[CVE-2025-23194] Fehlende Authentifizierungsprüfung in SAP NetWeaver Enterprise Portal (OBN-Komponente)

In SAP NetWeaver Enterprise Portal OBN wird bei einer bestimmten Konfigurationseinstellung keine angemessene Authentifizierungsprüfung durchgeführt. Dadurch kann ein nicht authentifizierter Benutzer diese auf einen unerwünschten Wert setzen, was zu geringfügigen Auswirkungen auf die Integrität führt. Die Vertraulichkeit und Verfügbarkeit der Anwendung bleiben jedoch unbeeinträchtigt.

 
 
 
READ MORE

11. Score 4.9   (Medium Priority)

Nummer: 3558132

[CVE-2025-0071] Schwachstelle bezüglich der Offenlegung von Informationen in SAP Web Dispatcher und Internet Communication Manager

Durch SAP Web Dispatcher und Internet Communication Manager kann ein Angreifer mit Administratorrechten den Debugging-Trace-Modus aktivieren, indem er einen bestimmten Parameterwert verwendet. Dies führt dazu, dass unverschlüsselte Passwörter in den Protokollen offengelegt werden, was erhebliche Auswirkungen auf die Vertraulichkeit der Anwendung hat. Die Integrität und Verfügbarkeit bleiben jedoch unbeeinträchtigt.

READ MORE

12. Score 4.7   (Medium Priority)

Nummer: 3557459

 [CVE-2025-0062] Cross-Site-Scripting-Schwachstelle (XSS) in SAP-BusinessObjects-Business-Intelligence-Plattform (Web Intelligence)

In der SAP BusinessObjects Business Intelligence-Plattform kann ein Angreifer JavaScript-Code in Web-Intelligence-Berichte einfügen. Dieser Code wird bei jedem Besuch der betroffenen Seite durch das Opfer im Browser ausgeführt. Wird die Schwachstelle erfolgreich ausgenutzt, kann der Angreifer begrenzte Auswirkungen auf die Vertraulichkeit und Integrität im Browser des Opfers haben. Die Verfügbarkeit bleibt jedoch unbeeinträchtigt. Diese Schwachstelle tritt nur auf, wenn die Ausführung von Skripten/HTML vom Administrator in der Central Management Console aktiviert wurde.

READ MORE

13. Score 4.3   (Medium Priority)

Nummer: 3474392

[CVE-2025-26656] Fehlende Berechtigungsprüfung in SAP S/4HANA („Einkaufsinfosätze verwalten“)

Im OData-Service von „Einkaufsinfosätze verwalten“ fehlen die erforderlichen Berechtigungsprüfungen für authentifizierte Benutzer, wodurch ein Angreifer seine Berechtigungen eskalieren kann. Dies führt zu geringen Auswirkungen auf die Integrität der Anwendung.

READ MORE

14. Score 4.3   (Medium Priority)

Nummer: 3565835

[CVE-2025-27433] Schwachstellen bezüglich fehlerhafter Zugriffskontrolle in SAP S/4HANA („Kontoauszüge verwalten“)

Dieser SAP-Sicherheitshinweis befasst sich mit zwei Schwachstellen in SAP S/4HANA. Detaillierte Informationen zu den Schwachstellen sowie die zugehörigen CVE- und CVSS-Daten sind weiter unten aufgeführt.

[CVE-2025-27433] – In der App „Kontoauszüge verwalten“ in SAP S/4HANA kann ein authentifizierter Angreifer bestimmte Funktionseinschränkungen der Anwendung umgehen und Dateien in einen bereits stornierten Kontoauszug hochladen. Diese Schwachstelle hat geringe Auswirkungen auf die Integrität der Anwendung, jedoch keine Auswirkungen auf deren Vertraulichkeit oder Verfügbarkeit.

CVSS: 4.3; CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

[CVE-2025-27436] – In der App „Kontoauszüge verwalten“ in SAP S/4HANA fehlen die erforderlichen Zugriffskontrollprüfungen für authentifizierte Benutzer, um zu verifizieren, ob eine Anfrage zur Interaktion mit einer Ressource legitim ist. Dies ermöglicht es einem Angreifer, einen gebuchten Kontoauszug zu löschen. Die Auswirkungen auf die Integrität sind gering, während die Vertraulichkeit der Daten und die Verfügbarkeit der Anwendung nicht betroffen sind.

CVSS: 4.3; CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

READ MORE

15. Score 4.3   (Medium Priority)

Nummer: 3557655

[CVE-2025-26660] Fehlerhafte Zugriffskontrolle in SAP-Fiori-Apps (Buchungsbibliothek)

SAP-Fiori-Anwendungen, die die Buchungsbibliothek nutzen, konfigurieren die Sicherheitseinstellungen während des Setup-Prozesses möglicherweise nicht korrekt, sodass diese entweder auf den Standardwerten verbleiben oder unzureichend definiert sind. Diese Schwachstelle erlaubt es einem Angreifer mit begrenzten Berechtigungen, Zugriffskontrollen innerhalb der Anwendung zu umgehen, was ihm potenziell die Möglichkeit gibt, Daten zu verändern. Die Vertraulichkeit und Verfügbarkeit bleiben dabei unbeeinträchtigt.

READ MORE

16. Score 4.3   (Medium Priority)

Nummer: 3557131

[CVE-2025-23188] Fehlende Berechtigungsprüfung in SAP S/4HANA (RBD)

Durch das Ausnutzen einer fehlenden Berechtigungsprüfung in einem IBS-Modul von FS-RBD kann ein authentifizierter Benutzer mit geringen Berechtigungen unautorisierten Zugriff auf Aktionen erlangen, die über die vorgesehenen Berechtigungen hinausgehen. Diese Schwachstelle hat nur geringe Auswirkungen auf die Integrität der Anwendung, ohne jedoch die Vertraulichkeit oder Verfügbarkeit zu beeinträchtigen.

READ MORE

17. Score 4.1   (Medium Priority)

Nummer: 3549494

[CVE-2025-23185] Schwachstelle mit Blick auf Offenlegung von Informationen in SAP-BusinessObjects-Business-Intelligence-Plattform

Eine falsche Fehlerbehandlung in der SAP BusinessObjects Business Intelligence-Plattform führt dazu, dass technische Details der Anwendung in Ausnahmen und Stack-Traces angezeigt werden, die an den Benutzer ausgegeben werden. Diese Informationen sind nur für einen Angreifer mit Administratorberechtigungen zugänglich, der sie für weitere Exploits nutzen könnte. Die Integrität und Verfügbarkeit der Anwendung bleiben jedoch unbeeinträchtigt.

READ MORE

18. Score 3.7   (Low Priority)

Nummer: 3562415

[CVE-2025-23185] Schwachstelle mit Blick auf Offenlegung von Informationen in SAP-BusinessObjects-Business-Intelligence-Plattform

Durch eine fehlerhafte Fehlerbehandlung in der SAP BusinessObjects Business Intelligence-Plattform werden technische Details der Anwendung in Ausnahmen und Stack-Traces offengelegt, die an den Benutzer ausgegeben werden. Nur ein Angreifer mit Administratorberechtigungen kann auf diese Informationen zugreifen und sie für weitere Exploits ausnutzen. Es gibt jedoch keine Auswirkungen auf die Integrität oder Verfügbarkeit der Anwendung.

READ MORE

19. Score 3.5   (Low Priority)

Nummer: 3561861

[CVE-2025-27430] Server-side Request Forgery (SSRF) in SAP CRM und SAP S/4HANA (Interaction Center)

Eine SSRF-Schwachstelle in SAP CRM und SAP S/4HANA (Interaction Center) kann unter bestimmten Bedingungen einem Angreifer mit minimalen Berechtigungen den Zugriff auf vertrauliche Informationen ermöglichen. Diese Schwachstelle erlaubt es dem Angreifer, Anfragen an interne Netzwerkressourcen zu senden, was die Vertraulichkeit der Anwendung gefährdet. Es ist jedoch wichtig zu betonen, dass die Integrität und Verfügbarkeit nicht betroffen sind.

READ MORE

20. Score 2.4   (Low Priority)

Nummer: 3568865

[CVE-2025-27432] Fehlende Berechtigungsprüfung in SAP Electronic Invoicing for Brazil (eDocument Cockpit)

Im eDocument Cockpit (Eingangs-NF-e) von SAP Electronic Invoicing for Brazil besteht die Möglichkeit, dass ein authentifizierter Angreifer mit bestimmten Berechtigungen unberechtigten Zugriff auf sämtliche Transaktionen erhält. Durch die Ausführung einer spezifischen ABAP-Methode im ABAP-System kann ein nicht autorisierter Angreifer jede Transaktion aufrufen und die Anlieferungsdetails einsehen. Diese Schwachstelle hat zwar geringe Auswirkungen auf die Vertraulichkeit, jedoch keine auf die Integrität und Verfügbarkeit der Anwendung.

READ MORE

21. Score 0.0   (Low Priority)

Nummer: 3576540

Open Source Security Advisory: Best Practices for Securing Spring Boot Actuator Endpoints for applications running on BTP

Java-Anwendungen, die mit dem Spring Framework entwickelt wurden, laufen typischerweise in BTP-Cloud-Foundry- und KYMA-Umgebungen, gelegentlich auch in der NEO-Umgebung. Der Spring Boot Actuator bietet Entwicklern eine hervorragende Möglichkeit, ihre Spring Boot-Anwendungen zu debuggen und Telemetriedaten zu sammeln. Er stellt eine Vielzahl von URL-Endpunkten zur Verfügung, die wertvolle Einblicke in die laufende Anwendung gewähren. Während diese Funktionen für Debugging und Überwachung, auch in Produktionsumgebungen, von Nutzen sind, können sie ein Sicherheitsrisiko darstellen, wenn sie ohne angemessene Authentifizierung und Berechtigung zugänglich sind.

Unzureichend gesicherte oder öffentlich exponierte Endpunkte des Spring Boot Actuators können zu ernsthaften Sicherheitsrisiken führen, darunter unberechtigter Zugriff auf sensible Anwendungsdaten wie Umgebungsvariablen, Speicher-Dumps und interne Routing-Informationen. Angreifer könnten diese Fehlkonfigurationen ausnutzen, um Einblicke in die Laufzeit- und Gesundheitsinformationen der Anwendung zu erhalten, was zu Datenlecks oder sogar Systemkompromissen führen kann. Daher ist es entscheidend, diese Endpunkte angemessen zu sichern, um Sicherheitsanfälligkeiten wie Remote-Code-Ausführung (RCE) oder Datendiebstahl zu vermeiden.

Beispielendpunkte, die sensible Daten exponieren könnten, finden Sie hier: https://me.sap.com/notes/3576540

READ MORE

Wir empfehlen euch dringend, die Patches mit (sehr) hoher und mittlerer Priorität so schnell wie möglich zu installieren. Je schneller ihr reagiert, desto besser schützt ihr eure SAP-Landschaft vor Angriffen.